儘管PHP魔法引號成功的SQL注入

Question

我一直都在讀魔術引號不會阻止SQL注入，但我無法理解爲什麼不能！舉個例子，假設我們有以下查詢：

SELECT * FROM tablename 
    WHERE email='$x'; 

現在，如果用戶輸入使得$x=' OR 1=1 --，查詢將是：

SELECT * FROM tablename 
    WHERE email='\' OR 1=1 --'; 

反斜槓將通過魔術被添加行情沒有任何損害！

有沒有一種方法，我沒有看到用戶可以繞過這裏的魔術引用插入的位置？

Answer 1

訣竅通常是傳遞一個二進制值，以便反斜槓將成爲有效多字節字符的一部分。這是關於它的blog post。