PHP/mySQL 准备好的语句

Question

下面的 php 代码是否容易受到 SQL 注入(inject)攻击，或者是否足够安全？另外:

1. 我应该将 mysql_real_escape_string() 应用于用户传递的值(或尝试以任何其他方式中和它们)...？
2. 我应该使用 php_flag magic_quotes off...吗？

3. 我应该使用php_value magic_quotes_gpc 0...吗？

   $mysqli = new mysqli($server_name, $db_username, $db_password, $db_name);
   
   $sql = "SELECT * FROM tbl_users WHERE username=? AND password=?";
   
   $username = $_POST['username'];
   $password = $_POST['password'];
   
   $stmt = $mysqli->prepare($sql);
   $stmt->bind_param('ss',$username,$password)) {
   $stmt->execute();
   

Answer 1

因为正在准备查询，所以 SQL 注入(inject)是不可能的。但这并不意味着准备好的声明是 100% 安全的。我个人更喜欢PDO。看看吧。