发送查询时我需要逃避什么？

Question

执行SQL查询时,必须清理字符串,否则用户可以在您的网站上执行恶意SQL.

我通常只有一个函数escape_string(blah),它:

• \用双转义符(\\)替换escapes ().
• '用转义的单引号(\')替换单引号().

这够了吗？我的代码中有漏洞吗？有没有一个库可以快速可靠地为我做到这一点？

我想在Perl,Java和PHP中看到优雅的解决方案.

Answer 1

为了最大限度地提高安全性,性能和正确性,请使用预先准 以下是使用不同语言(包括PHP)的大量示例执行此操作的方法:

/sf/ask/138141/