mysql_real_escape_stringさえ残っている穴はありますか？

この関数を通過した後の入力の安全度はどれくらいですか？mysql_real_escape_stringさえ残っている穴はありますか？

100％安全ですか？

2012-02-22 Rick James

[mysql_real_escape_stringのとにstripslashesを使用してSQLインジェクションの回避]の可能な重複（http://stackoverflow.com/questions/9393980/avoiding-sql-injection-using-mysql-real-escape-string-and-stripslashes ） – Sarfraz

[mysql_real_escape_stringとhtml_special_charsの重複はありますか？]（http://stackoverflow.com/questions/9075590/mysql-real-escape-string-and-html-special-chars-enough） –

最良の方法は、準備された文を使用してSQLにユーザー提供のデータをまったく混在させないことです。

あなたの場合（idは数字です）、単に$id = intval($_POST['id']);を使用してください。普通の整数では何も注入できません。あなたはその場合でもmysql_real_escape_string()を必要としません。

文字列引数の場合、mysql_real_escape_string()を使用するだけで十分ですが、SQL文字列の引数を一重引用符で囲むのを忘れないでください！

出典

2012-02-22 12:26:06 ThiefMaster

あなたはより具体的になりますか約 "しかし、SQL文字列の引数を一重引用符で忘れることは決してありません！" –

'" ...どこでfoo = '"。$ foo。"' "'だけではなく... ...どこにfoo = "。$ foo' – ThiefMaster

安全ではありません。

It has nothing to do with safety at all

出典

2012-02-22 13:50:51

mysql_real_escape_stringさえ残っている穴はありますか？

答えて

関連する問題