MySQL的逃逸getsqlvaluestring ACCID

Question

在各种MySQL的查询，所述查询字符串的末尾的部分是：

" WHERE UserID = " . $AccID 

其中

$AccID = $_SESSION['UID']; 

和用户ID是在分贝的特定表的尊重BIGINT列。

所以我的问题是：我是否需要躲避$AccID这样GetSQLValueString($AccID, "text")只是为了安全起见，还是没有必要，因为它不是从用户输入取？

p.s. $_SESSION['UID']在登录过程中设置，认证成功后

Answer 1

是的，你应该逃避它。当您将其放入$_SESSION（您可能想将其用于其他目的）时，但在插入查询之前，您不应将其转义。

最好的办法是使用参数化的SQL，而不是总是通过字符串连接转义和构建查询。熟悉PDO。 For a better world。