用于SQL注入性能的最佳函数

Question

可能重复:
在PHP中停止SQL注入的最佳方法

我想知道最好用哪些函数来防止MySQL注入

我可以使用一些函数来阻止sql注入,例如:

• mysql_real_escape_string
• mysqli_real_escape_string
• addslashes
• 为数字输出值(intval等...)
• htmlentities 同 ENT_QUOTES
• 或者只是删除'或"

我想使用最好和更快的反SQL注入方法来标准化我的代码,我想知道我应该为高流量站点使用哪一个.

Answer 1

你不应该使用htmlentities来保存数据到数据库,addslashes不是100%安全的(一些字符集仍然可以使它易受攻击),使用mysql_或mysqli_依赖于你正在使用的驱动程序而不是可互换的.基本上,它不是速度或性能问题 - 唯一正确的做法是使用驱动程序附带的转义函数(pdo :: escape或mysql [I] _real_escape_string)作为字符串并将整数/浮点数转换为正确的类型.