代码之家 › 专栏 › 技术社区 › Jichao

mysql_real_escape_字符串是否足以反SQL注入?

sql-injection mysql php

Jichao · 技术社区 · 15 年前

在PHP手册中,有一个注释:

注意:如果此功能不用于转义数据,查询易受攻击到SQL注入攻击。

这足以反sql注入吗?如果不是,你能举个例子和一个很好的反sql注入的解决方案吗?

3 回复 | 直到 15 年前

deceze 13 年前

mysql_real_escape_string 通常足以避免SQL注入。这确实取决于它是否没有bug,也就是说,有一个小的未知机会是脆弱(但这还没有在现实世界中表现出来)。在概念级别上完全排除SQL注入的更好的替代方案是 prepared statements . 这两种方法完全取决于你是否正确地应用它们;也就是说,如果你只是把它搞砸了,它们都不会保护你。

mcbeav 15 年前

据我所知,这是避免SQL注入攻击的可靠方法。

Rotimi 8 年前

最好的解决办法是 PDO .

如果你用传统的 mysql_query 然后通过 mysql_real_escape_string() 够了。

推荐文章

cagta · 如何使用此python脚本避免硬编码sql表达式?

8 年前

John · MySQL php查询缺陷

8 年前

DavidC · Rails ActiveRecord:如何在jsonb上使用带双引号的绑定变量

8 年前

Mori · Azure函数中针对CosmosDB的SQLInjection

8 年前

ÐÐ¾Ð½ÑÑÐ°Ð½ÑÐ¸Ð½ ÐÐ¾Ð²Ð°Ð»ÐµÐ² · Laravel eloquent selectRaw for SQL注入

8 年前

zerocool · 数据库中的查询级别

8 年前

Arunabh · 在不使用预处理语句的情况下摆脱SQL注入

8 年前

Michael Pomogajko · 为基于时间的盲sqlinjection查找sql查询

8 年前

Paul · 是节点中的转义函数。js mysql包是否足以安全地查询mysql数据库(无需使用准备好的语句)?

9 年前

Web Dev Guy · 使用WordPress get\u results()数据库函数是否会阻止sql注入

9 年前