これは複数のフィールドをエスケープする正しい方法ですか？

Question

私は安全なフォームを行うために誰かを雇っ以下貼り付けていたが、大きなコードだけ抜粋です：

 $_POST = escape_all($_POST); 

     $some1 = $_POST['some1']; 
     $some2 = $_POST['some2']; 
     $some3 = $_POST['some3']; 
     $some4 = $_POST['some4']; 
     $some5 = $_POST['some5']; 
     $some6 = $_POST['some6']; 
     $some7 = $_POST['some7']; 
     $some8 = $_POST['some8']; 

がいることを正しい方法ですか私は（mysql_real_escape_stringの追加する必要があります）。すべての変数に？

Answer 1

彼はエスケープするカスタム関数を書いているようです。そのescape_all関数がmysql_real_escape文字列を呼び出している限り、それは技術的に動作しますが、それはいくつかの理由で好ましい解決策ではないと言います。

まず、他の場所で逃げないように注意してください。これは、二重のエスケープにつながりやすくなり、他の問題を引き起こす可能性があります。

また、パフォーマンスに問題がある場合は、状況によってはエスケープする必要のない大量のデータをエスケープすることもできます。

はい、mysqlの代わりにmysqliを使用するのが一般的です。