在沒有mysqli_real_escape_string的數據庫中保存帶單引號的字符串

Question

我想在表列中保存字符串「thats'one」，但我不想使用mysqli_real_escape_string。任何人都可以指導我如何做到這一點？

Answer 1

由於我看到這麼多低質量的評論在這裏，這裏是一個粗略的未經測試的答案。

$query = "INSERT INTO table (Column) VALUES (?)"; 
$stmt = $mysqli->prepare($query); 
$stmt->bind_param("s", $val1); 
$val1 = "thats'one"; 
$stmt->execute(); 

這假定$mysqli是你的連接對象。

在話題的鏈接：

http://php.net/manual/en/mysqli-stmt.execute.php
http://php.net/manual/en/mysqli.quickstart.prepared-statements.php
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet#Defense_Option_1:_Prepared_Statements_.28Parameterized_Queries.29
http://php.net/manual/en/security.database.sql-injection.php
How can I prevent SQL injection in PHP?