是否将addslashes（）和准备语句冗余

-2

插入准备语句时是否需要转义字符？准备好的语句是否为我逃避代码？是否将addslashes（）和准备语句冗余

2016-01-26 alaboudi

更容易问这么社区，而不是使用谷歌...

逃逸和SQL注入

绑定变量从查询分别发送给服务器，因此不能干扰它。在解析语句模板之后，服务器直接在执行时使用这些值。绑定参数不需要转义，因为它们从不直接替换为查询字符串。必须向服务器提供绑定变量类型的提示，以创建适当的转换。有关更多信息，请参阅mysqli_stmt_bind_param（）函数。

这样的分离有时被认为是防止SQL注入的唯一安全功能，但如果所有值的格式都正确，则可以使用非预处理语句实现相同程度的安全性。应该注意，正确的格式与转义不同，涉及的逻辑比简单的转义更多。因此，准备好的语句只是这种数据库安全性的一种更方便，更不容易出错的方法。

...假设你得到了的mysqli当然

来源

2016-01-26 01:14:36

的或者更好的PDO – RiggsFolly

@RiggsFolly我是假设我是粘贴PDO说明书的一部分，但后来决定不改变它，因为这个问题去重复无论如何:) –

只是一个建议 – RiggsFolly

是否将addslashes（）和准备语句冗余

回答

相关问题