PHP - SQL注入

Question

可能重复：
Best way to prevent SQL injection in PHP?

我仍在使用mysql_分机在一个古老的项目，所以mysql_real_escape_string()足以防止SQL注入？或者我必须使用expressions？

Answer 1

这取决于您想要参考的内容。如果值为int或double，则通常不会使用mysql_real_escape_string。但是，如果它是一个字符串（并且在插入可能由您以外的人操纵的数据时请注意），您应该是安全的。

PDO不是最终所有的注入，但它确实使事情变得更简单。但是，mysql_*已成功使用多年，并且不会使网站的安全性降低（仅取决于网站的撰写者）。