php - 何时使用 mysql_real_escape_string()

Question

什么时候使用 mysql_real_escape_string 是正确的时间？

当我使用 isset(mysql_escape_string($_GET['param'])) 时是否应该使用它，

当我使用 $foo = mysql_real_escape_string($_GET['bar']); 时是否应该使用它？

谢谢

Answer 1

在使用字符串文字构建 SQL 查询时需要调用此函数。
你不应该在其他任何地方调用它。

调用这个函数的目的是为了防止你执行像 SELECT * FROM Students WHERE Name = 'Robert') 这样的 SQL； DROP TABLE 学生;--'.
mysql_real_escape_string 将转义 ' 字符，以便将恶意字符串完全视为字符串。