MySQL подготовил заявления, мне все еще нужно использовать mysql_escape_string

Question

Мне все еще нужно использовать mysql_escape_string, чтобы избежать атак SQL-инъекций, если я использую подготовленные операторы в MySQL 5.3?

Answer 1

ЗОП должен позаботиться о побеге / дезинфекции для вас. Предполагая, что вы имеете в виду:

$db->prepare('SELECT * FROM table WHERE foo = ?');
$db->execute(Array("bar's baz"));

Answer 2

Несколько забавная вещь - вы не должны использовать mysql_escape_string, чтобы избежать атак SQL-инъекций, даже если вы не используете подготовленные операторы в MySQL 5.3. Обратите внимание, что это не функция «mysql_prevent_sql_injection ()», это escape-строка mysql one. Таким образом, он используется для экранирования строк. Вы должны избегать строк, несмотря на возможность инъекции. Тем не менее, это не поможет с любой частью запроса, кроме строки в кавычках.