php - 我如何保护这个 PHP 脚本？

Question

我担心 sql 注入(inject)，那么我该如何预防呢？我正在使用这个脚本，但有几个人告诉我它非常不安全，如果有人能帮助我告诉我它有多棒:)。

源代码:

if(isset($_POST['lastmsg']))
{
$lastmsg=$_POST['lastmsg'];
$result=mysql_query("SELECT * FROM updates WHERE item_id<'$lastmsg' ORDER BY item_id DESC LIMIT 16");
$count=mysql_num_rows($result);
while($row=mysql_fetch_array($result))
{
$msg_id=$row['item_id'];
$message=$row['item_content'];

Answer 1

永远不要将来自用户的信息($_POST 或$_GET)直接放入查询中。如果它们是数字，请始终先使用 (int)$var 或 intval($var) 将它们转换为整数；如果它们是字符串，请始终使用 mysql_real_escape_string() 对它们进行转义。

阅读http://us2.php.net/mysql_real_escape_string并使用它。