如何在不使用 mysql_real_escape_string 的情況下安全地轉義 PDO 中的字串？

真實轉義字串和PDO

從mysql 函式庫轉換到PDO 時，您可能會遇到需要像以前使用real_escape_string 一樣轉義字串的情況。在 PDO 中，您可以利用更安全、更有效率的方法。

PDO 準備

PDO 提供了prepare() 方法，它允許您執行參數化查詢。參數化透過在執行 SQL 語句之前清理使用者輸入來幫助防止 SQL 注入攻擊。它還透過快取查詢計劃來優化效能，無需手動引用字串。

要使用 PDO::prepare() 轉義單引號，請依照下列步驟操作：

1. 準備語句：

   $stmt = $pdo->prepare("INSERT INTO table (column) VALUES (:value)");

2. 綁定參數：

   $stmt->bindParam(':value', $escapedValue);

3. 執行語句：

   $stmt->execute();

在此範例中，:value是轉義值的佔位符，您可以使用bindParam() 對其進行指派。 PDO 驅動程式將自動為您處理轉義單引號。

結論

透過使用 PDO::prepare() 進行參數綁定，您可以在消除需要的同時實現安全性和效能優勢用於手動字串轉義。這是 PDO 應用程式中的建議做法，以防止 SQL 注入並優化資料庫互動。

以上是如何在不使用 mysql_real_escape_string 的情況下安全地轉義 PDO 中的字串？的詳細內容。更多資訊請關注PHP中文網其他相關文章！