MySQL注入预防不起作用？

Question

我想使用 mysql_real_escape_string 防止 1=1，但不确定我是否做得对，因为我仍然可以执行 1=1。这是我的代码：

$memberId = mysql_real_escape_string($_GET["memberId"]);
$sql = "SELECT firstName, lastName, dateSent, message, messageId FROM member, message WHERE member.memberId = message.sentFromId AND message.inboxId=" . $memberId . " ORDER BY dateSent DESC;";

谢谢

Answer 1

mysql_real_escape_STRING() 用于 STRINGS，而不是整数。 1=1 中没有任何需要转义的内容，因此 m_r_e_s() 将原样传回。

如果您要处理整数，请使用整数工具：

$memberID = intval($_GET['memberId']);

Answer 2

不进行 SQL 注入的唯一正确方法是使用 prepared statements。 如果您尝试使用转义来缓解，您将失败。 如果您通常从不连接查询并始终使用准备好的语句，那么您就有机会。
它还具有使您的代码更具可读性的优点。 而且没有缺点。