小编SAG*_*R.G的帖子

可能重复:
在PHP中阻止SQL注入的最佳方法

php get var clear是好还是不好plz帮助我

function Clear($text)
    $Var = str_replace("'", "", $text);
    $Var = str_replace('"', '', $Var);
    $Var = strip_tags($Var);
    $Var = htmlentities($Var);
    return $Var;
}
$_GET['Var'] = "1='1'";
$Var = Clear($_GET['Var']);
$Query = "SELECT * FROM TABLE_NAME WHERE COL ='{$Var}'";
echo 'Result : '.($Query);

它是用于SQL注入的,这是我使用pdo编写的示例代码.如果我使用mysql_real_escape_string它不起作用.