这对 SQL 注入安全吗？

Question

所以这是我合作过的第一个项目，如果我不使用预构建的 CMS，并且我正在努力确保提交的数据是安全的。

我的问题分为两部分：a) 我检查 $_POST 值的方式是否足够安全？这里是：

function validateInput($data) {
$data = trim($data);
$data = stripslashes($data);
$data = htmlspecialchars($data);
return $data;   
}

$id = validateInput($_POST['id']);
$name = validateInput($_POST['name']);
$address = validateInput($_POST['address']);

b) 如果不是，我怎样才能让它更安全，更不容易被 SQL 注入？

我非常感谢您对此的帮助。谢谢大家

Answer 1

使用 mysqli 准备变量：

$id = mysqli_real_escape_string($db, $_POST['id']);
$name = mysqli_real_escape_string($db, $_POST['name']);
$address = mysqli_real_escape_string($db, $_POST['address']);

或使用数据库对象（在打开连接时定义）：

$id = $db->real_escape_string($_POST['id']);
$name = $db->real_escape_string($_POST['name']);
$address = $db->real_escape_string($_POST['address']);

http://dk1.php.net/mysqli_real_escape_string

Answer 2

你正在做的是一个很好的开始，不要让任何人告诉你不要转义特殊字符。

官方的回答是使用现代mysql方法，要么：mysqli要么PDO

请用谷歌搜索那些 PHP: mysqli 和 php: PDO

关于这些有很好的文档。

任何 mysql_escape_... 都已弃用。

另一个注意事项：stripslashes 不添加任何安全值。