为什么转义SQL值需要打开连接？

Question

为了清楚起见,任何人都可以解释为什么mysqli_real_escape_string必须阅读:

$query = mysqli_real_escape_string($conn,"SELECT * FROM tbl");

而不只是:

$query = mysqli_real_escape_string("SELECT * FROM tbl");

谢谢你的帮助!

Answer 1

因为charset编码.

没有$conn,mysqli_real_escape_string()将无法检测连接使用哪个字符编码,并将盲目地尝试逃避常见的危险字符 - 留下一些潜在危险的字符集黑客经历.

真实的(未模拟的)预处理语句甚至更好(或者更安全,如您所愿),因为它们考虑了列的字符编码而不是连接.