php + mysql：addslashes（）を使わずにserialize（）を使うのは安全ですか？

Question

serialize()でシリアル化された配列をdbに挿入するのは完全に安全ですか？それとも、前にaddslashes(serialize($array))を実行する必要がありますか？または、mysql固有の文字がいくつかありますか？データなどを挿入して削除できますか？

Answer 1

いいえ全く安全でないです。

addslashesではなく、mysql_real_escape_stringを使用しないでください。それとも、PDOをエスケープするのではなく、プリペアドステートメントで使用してください。

Answer 2

完全に *** un **** safe *データベースに固有の処理を行わずにデータベースに直列化データを挿入します。

選択したデータベースアクセスレイヤでSQLインジェクションを防止するには、どのようなメカニズムを使用することをお勧めします。あなたが1つの石で2羽の鳥を打つように、データを適切にエスケープすることが含まれています。

特定の例については、How can I prevent SQL injection in PHP?を参照してください。