什么是... mysql_real_escape_string？危险吗？

Question

可能重复：
Why shouldn’t I use mysql_* functions in PHP?

惠，我可以使用一个代码在PHP这样的：

$s_username = addslashes(strip_tags($_POST['username'])); 
$s_password = addslashes(strip_tags($_POST['password'])); 

此之前

是使用

$email = mysql_real_escape_string(strip_tags($_POST['email'])); 
$username = mysql_real_escape_string(strip_tags($_POST['username'])); 

...因为很多人说mysql_real_escape_string使用起来很危险？

Answer 1

它的折旧意味着它没有被维护，所以如果发现安全漏洞，PHP开发人员不会去修复它。这并不危险，但它只是逃脱了可能用于sql注入的所有不好的字符。

改用mysqli_ *函数或PDO。那些实际上正在维护，并且更安全。