mysql - PHP が PDO を使用しない場合、SQL ステートメントを構築するときにインジェクションを防ぐにはどうすればよいですか?

Question

PHP が PDO を使用しない場合、SQL ステートメントの作成時にインジェクションを防ぐにはどうすればよいですか?

書式設定文字列を削除することはできますか?

Answer 1

できません。
引用符やバックティックマークなどの特殊文字は必ずエスケープしてください。
データベースのエンコーディングに必ず注意してください。
ステートメント内の特殊なエンコーディングを必ずフィルタリングしてください。
pdo はデータベースパラメータバインディングを使用するため、インジェクションは回避されます。