什么时候应该转义 MySQL 中使用的字符串

Question

我对 PHP 还很陌生，但对 StackOverflow 已经熟悉了一段时间。

我最近一直在阅读有关使用 mysql_real_escape_string 的适当时间的信息，希望对以下内容提出任何建议。

在初始 $_POST 变量上使用一次 mysql_real_escape_string 是否足以通过脚本保护字符串？

例如：

$username = mysql_real_escape_string($_POST["username"]);
$password = mysql_real_escape_string($_POST["password"]);
$email = mysql_real_escape_string($_POST["email"]);
$repeat_password = mysql_real_escape_string($_POST["repeat_password"]);

我在运行一堆 if 语句之前声明这些值，最后在 if 语句完成后，我将 INSERT 插入到 mysql 数据库中：

mysql_query("INSERT INTO users (username, password, email, signup_date) VALUES ('$username', '$password', '$email', CURDATE())") or die(mysql_error());

mysql_real_escape_string 在 if 语句的其他任何地方都没有使用 - 这对于新手来说是否足够安全，同时仍然保持一些注入保护？

Answer 1

虽然 mysql_real_escape_string() 可能（当前）保护您免受 SQL 注入，但它已弃用，所以无论如何您都不应该使用 mysql_* 函数，但在未来的 PHP 版本中，它将被删除，从而使您的代码无用。

既然你有一辆闪亮的新兰博基尼的钥匙，为什么还要开一辆破旧的福特嘉年华？

Don't use mysql_* functions in new code。它们不再维护and are officially deprecated。看到red box？改为了解 prepared statements，并使用 PDO 或 MySQLi - this article 将帮助您决定哪个。如果你选择 PDO，here is a good tutorial。

Answer 2

尝试准备好的语句：

$stmt = $con->prepare("INSERT INTO users (`username`, `password`, `email`, `signup_date`) VALUES (?, ?, ?, ?)");
$stmt->bind_param($username,$password,$email,CURDATE());
$stmt->execute();
$stmt->close();

Answer 3

不，这不安全。你应该切换到prepared statements。