mysql - Wenn PHP kein PDO verwendet, wie kann man die Injektion beim Erstellen von SQL-Anweisungen verhindern?

Question

Wenn PHP kein PDO verwendet, wie kann man die Injektion beim Erstellen von SQL-Anweisungen verhindern?

Kann die Sprint-Formatzeichenfolge entfernt werden?

Answer 1

不能。
一定要转义特殊字符如引号、反引号。
一定要注意数据库的编码。
一定要过滤语句中的特殊编码。
pdo使用了数据库的参数绑定，所以避免了注入。