addslashes（string）だけでSQLインジェクションを防止できますか？

Question

可能性の重複：
What does mysql_real_escape_string() do that addslashes() doesn't?

ない場合は、私がmysql_escape_stringを使用している、そしてそれは\ r \ nのような言葉に文字を追加し、私はそれを望んでいません..

Answer 1

いいえ、安全ではありません。代わりにmysql_real_escape_string()を使用してください。それは、文字列をエスケープするのに必要な以上に何かを加えてはいけません。

http://php.net/mysql-real-escape-string

これは、あまりにも他のデータベースに適用されます：拡張固有​​のエスケープ関数を使用します。

Answer 2

いいえ、addslashesは十分ではありません。 mysql_escape_stringは必ずしも十分ではありません。 mysql_real_escape_stringを使用してください。

追加したものが好きかどうかは関係ありませんが、クエリ構文が有効であることを確認するために文字をエスケープするだけです。これがあなたがやっていることのやり方になれば、あなたは何か間違ったことをしているのです。

Answer 3

また、mysqli関数とPrepared Statementsを使用することもできます。これは、すべての引用がデータの一部とみなされるため、最初は問題を回避します。

Answer 4

SQLインジェクションを防ぐ最も良い方法は、mysqliまたはPDOのプリペアドステートメントを使用することです。