为什么要使用ATTR_EMULATE_PREPARES，是mysql_real_escape_string的任何选择？在PDO

Question

1. 是否有任何PDO的替代品，因为在MySQL是mysql_real_escape_string？
2. 为什么我们应该设置'false' - > ATTR_EMULATE_PREPARES常量？

Answer 1

1. 你没有在事先准备好的声明中使用mysql_real_escape_string在PDO
2. 不一定。你可以用任何一种方式

要回答的问题编辑

NO，有没有办法。你应该使用准备好的语句。

Answer 2

使用mysql扩展，只有这样，才能动态地嵌入值插入查询是：

$query = "SELECT ... WHERE foo = '$bar'"; 

为了避免在最坏的情况下，可以利用如SQL注入语法错误，你需要申请mysql_real_escape_string到$bar这里以转义的值正确。如果您不知道这意味着什么，请阅读The Great Escapism (Or: What You Need To Know To Work With Text Within Text)。

准备语句提供通过完全分离的查询和所述值，以使用动态值完全不同的方式：

$stmt = $db->prepare('SELECT ... WHERE foo = :bar'); 
$stmt->execute(array(':bar' => $bar)); 

这实际上是发送到数据库作为两个单独的件;语法永远不会被搞砸或被利用，因为这两个部分从来没有实际合并过。

尽管所有数据库都不支持此功能，但有些（旧的）数据库仍然希望使用旧式的未准备好的转义查询。 ATTR_EMULATE_PREPARES给出了选项，好吧，模拟准备好的语句。您仍然可以在代码中使用$db->prepare()->execute() API，但在幕后，PDO将转义该值并将其连接到查询中。要明确禁止PDO执行此操作并强制它使用数据库提供的本地准备语句API，请将ATTR_EMULATE_PREPARES设置为false。

如果您的数据库本地支持预处理语句，则应该执行此操作;最近的所有数据库都是这样。如果让PDO模拟预准备语句，则在某些条件下（主要是在人工构建的多字节连接编码情况AFAIK下），SQL注入的可能性仍然很小。

在任何情况下，您都不能使用mysql扩展中的函数和PDO扩展;它不会起作用，因为mysql_real_escape_string需要通过mysql_connect建立单独的数据库连接。