php - mysqli_real_escape_string，我应该使用它吗？

Question

我想消除sql注入(inject)，我应该使用mysqli_real_escape_string()或者在mysqli中清楚吗？
例如

$nick = mysqli_real_escape_string($_POST['nick'])

Answer 1

您应该使用 prepared statements并将字符串数据作为参数传递，但您不应对其进行转义。

此示例取自文档:

/* create a prepared statement */
if ($stmt = $mysqli->prepare("SELECT District FROM City WHERE Name=?")) {

    /* bind parameters for markers */
    $stmt->bind_param("s", $city);

    /* execute query */
    $stmt->execute();

    /* bind result variables */
    $stmt->bind_result($district);

    /* fetch value */
    $stmt->fetch();

    printf("%s is in district %s\n", $city, $district);

    /* close statement */
    $stmt->close();
}

请注意，该示例不调用 mysqli_real_escape_string .您只需要使用 mysqli_real_escape_string如果您将字符串直接嵌入到查询中，但我建议您永远不要这样做。尽可能始终使用参数。

相关

How can I prevent SQL injection in PHP?