【发布时间】：2011-02-06 00:42:58
【问题描述】：
我正在设置几个 MySQLi multi_query 函数。我知道您不能将准备好的语句与 multi_query 一起使用，所以我想知道建议对 muti_query 使用哪些安全预防措施。
real_escape_string()?
【问题讨论】：
-
输入转义不是一种预防措施，它是产生一个可以执行的有效查询的要求。
【发布时间】：2011-02-06 00:42:58
【问题描述】：
其实 [mysqli_]real_escape_string() 与安全无关。它更像是语法格式化程序。
有关保护查询的完整指南，请参阅我的回答： In PHP when submitting strings to the database should I take care of illegal characters using htmlspecialchars() or use a regular expression?
【讨论】：
几乎是的。特别是考虑到 multi_query() 允许 'exploits of a mum' 类型的注入。所以是的：
- 转义字符串
- 将 inetgers 转换为整数并将浮点数转换为浮点数
- 如果可能，请将您的应用程序权限仅分配给 SELECT、UPDATE、INSERT 和 DELETE。
【讨论】：