php - mysql_escape_string() 是否使 sql 注入(inject)变得不可能？

Question

我的问题不是关于需要代码方面的帮助，而是我只是想知道 mysql_escape_string() 是否使 SQL 注入(inject)变得不可能。

我看到很多人使用这个函数来保证 sql 安全。如果我使用 mysql_escape_string()，我是否还需要使用带参数的查询？

您能否告诉我一个使用此函数的好方法，或者 mysql_escape_string($string) 是否足够？

如果 mysql_escape_string() 不是一个好习惯。请您向我解释如何在查询字符串中使用参数，以便我理解。我知道如何在 VB.net 中使用参数和其他东西，但是在 php 和 mysql 中使用参数时我迷路了。

提前致谢:)。

Answer 1

if mysql_escape_string() makes SQL-injection impossible.

mysql_escape_string() 实际上与 SQL 注入(inject)无关

I see a lot of people using this function for sql-security.

确实很多。他们都处于危险之中。

If I use mysql_escape_string(), will I still need to use queries using parameters or not?

恰恰相反，如果你使用参数，你将不需要这个函数。

Also could you please tell me a good way to use this function

是的，我可以。您可以在自己的参数化查询实现中使用此函数。这是使用此功能的唯一正确方法。但这不是必需的，因为您可以使用驱动程序提供的现成参数

If mysql_escape_string() isn't a good practice.

是的。但仅在这些条件下:

• 使用最新版本。
• 它被用于它的真正目的，而不是为了防止注入(inject)
• 用于处理参数

Could you please explain to me how to use parameters in a querystring

希望您喜欢 PDO tag wiki 中的解释