使用PHP防止注入SQL

Question

因为我的陈述是这样的

"SELECT * FROM `box` WHERE `thing` = '{$variable}'

我可以简单地清理它

$variable = str_replace("'","\'",$variable);
"SELECT * FROM `box` WHERE `thing` = '{$variable}'

那会有用吗？我的主机不支持mysql转义,我不使用mysqli.

Answer 1

使用参数化查询(PDO可能是您最好的选择).

Answer 2

我非常怀疑你的主机不支持这个mysql_real_escape_string功能.

$variable = mysql_real_escape_string($variable);

$sql = "SELECT * FROM `box` WHERE `thing` = '{$variable}'";

如果您确实没有安装MySQL,那么您可以根据您正在使用的RDBMS使用以下转义函数之一:

pg_escape_string

sqlite_escape_string

db2_escape_string

ingres_escape_string