mysql_real_escape_字符串是否足以反SQL注入?

mysql_real_escape_string 通常足以避免SQL注入。这确实取决于它是否没有bug,也就是说,有一个小的未知机会 是 脆弱(但这还没有在现实世界中表现出来)。在概念级别上完全排除SQL注入的更好的替代方案是 prepared statements . 这两种方法完全取决于你是否正确地应用它们;也就是说,如果你只是把它搞砸了,它们都不会保护你。

据我所知,这是避免SQL注入攻击的可靠方法。

最好的解决办法是 PDO .

如果你用传统的 mysql_query 然后通过 mysql_real_escape_string() 够了。