什么时候不应该使用mysql_real_escape_string

Question

我看到了这个评论.... http://www.php.net/manual/en/function.mysql-real-escape-string.php#93005

并开始想知道为什么这会是一个坏主意.

Answer 1

由于以下几个原因,这是一个坏主意:

• 首先,它假设您的输入将始终进入数据库并单独进入数据库.如果要在HTML输出中使用某些内容怎么办？或者在电子邮件中？或写入文件？或许多其他事情..你的过滤应始终是上下文敏感的.

• 更重要的是,它鼓励大量使用GET,POST等,因为没有迹象表明它们已被过滤.如果有人看到你使用

  echo $ _POST ['name'];

  在页面上,他们怎么知道它被过滤了？或者甚至更糟......你确定它已经存在了吗？那个其他应用呢？你知道吗,你刚刚被交给谁？新开发者会做什么？他们甚至会知道过滤很重要吗？