我絕對(duì)同意上述的說(shuō)法，但我想補(bǔ)充一件事，以回應(yīng)Cheekysoft的答覆，特別是：
當(dāng)涉及到數(shù)據(jù)庫(kù)查詢時(shí)，始終嘗試并使用準(zhǔn)備好的參數(shù)化查詢。mysqli和PDO庫(kù)支持這一點(diǎn)。這比使用轉(zhuǎn)義函數(shù)(如MySQL_REAL_EXECH_String)安全得多。
是的，MySQL_REARY_EXIFE_String實(shí)際上只是一個(gè)字符串轉(zhuǎn)義函數(shù)。這不是一顆神奇的子彈。它所要做的就是轉(zhuǎn)義危險(xiǎn)字符，以便它們可以安全地在單個(gè)查詢字符串中使用。但是，如果您不事先清理您的輸入，那么您將容易受到某些攻擊向量的攻擊。
想象一下下面的SQL：
$Response=“從表中選擇字段id=”.mysql_Real_EXECH_String($_POST[‘id’])；
您應(yīng)該能夠看到這很容易被利用。假設(shè)id參數(shù)包含公共攻擊向量：
1或1=1
沒(méi)有危險(xiǎn)的字符在那里編碼，所以它將直接通過(guò)轉(zhuǎn)義過(guò)濾器。離開(kāi)我們：
從表中選擇字段，其中id=1或1=1
我編寫了一個(gè)快速的小函數(shù)，放在我的數(shù)據(jù)庫(kù)類中，它將剔除任何不是數(shù)字的東西。它使用PREG_REPLE，所以有一個(gè)更優(yōu)化的函數(shù)，但它在緊要關(guān)頭工作.
function Numbers($input) {
$input = preg_replace("/[^0-9]/","", $input);
if($input == '') $input = 0;
return $input;}所以不要用
$Resue=“從表中選擇字段，其中id=”.mysqlrealfreestring(“1 or 1=1”)；
我會(huì)用
$READ=“從表中選擇字段，其中id=”.Numbers(“1 or 1=1”)；
它將安全地運(yùn)行查詢。
從表中選擇字段，其中id=111
當(dāng)然，這只是阻止了它顯示正確的行，但我認(rèn)為這對(duì)試圖將SQL注入到您的站點(diǎn)的人來(lái)說(shuō)不是什么大問(wèn)題；)
