mysql - PHP如果不使用PDO，在构造SQL语句的时候，如何杜绝注入?

Question

PHP如果不使用PDO，在构造SQL语句的时候，如何杜绝注入?

sprint 格式化字符串能杜绝吗？

Answer 1

不能。
一定要转义特殊字符如引号、反引号。
一定要注意数据库的编码。
一定要过滤语句中的特殊编码。
pdo使用了数据库的参数绑定，所以避免了注入。