LIKE运算符的MySQL注入

Question

我在我的一个php文件中使用以下代码来从DB获取数据:

$products = $this->db->get_rows('SELECT * from products WHERE shop_id='.$_SESSION['shop_id'].'AND tags,title,text LIKE \'%'.$_POST['search'].'%\'');

这有问题吗？我的意思是LIKE运算符可以注入？

编辑

请以这种方式提供注射的例子

Answer 1

任何操作员都可以无约束地注入.

$_POST['search'] = "1%'; DROP TABLE myTable LIKE '%";

将使

.... AND tags,title,text LIKE '%1%'; DROP TABLE myTable LIKE '%%'

阅读如何绑定参数.