mysql_real_escape_string (htmlspecialchars ($ value)); достаточно? как я могу легко улучшить это?

Question

Я использую это в каждом $ _get или $ _post перед доступом или вставкой в ​​мою базу данных.

Я уверен, что этого недостаточно ... но насколько это безопасно? Могу ли я объединить его с некоторым выражением, чтобы сделать его более безопасным?

Большое спасибо!

так как насчет этого? mysql_real_escape_string (htmlspecialchars ($ value));

Answer 1

Нет, этого недостаточно.Вы должны использовать mysql_real_escape_string, чтобы предотвратить атаки SQL инъекций.

Answer 2

Вы должны использовать mysql_real_escape_string () для защиты вашей базы данных от атак внедрения (или, еще лучше, подготовленных операторов с чем-то вроде библиотеки PDO) и htmlspecialchars (), когда вы отображаете данные, извлеченные из базы данных .

Answer 3

mysql_escape_string ($ value) немного умнее при очистке строк, которые будут использоваться в запросе SQL.