mysql_real_escape_string它允許在SQL查詢中沒有引號？

-1

這個代碼錯誤嗎？mysql_real_escape_string它允許在SQL查詢中沒有引號？

<?php 

if (isset($_GET['Submit'])) { 

    // Retrieve data 

    $id = $_GET['id']; 
    $id = mysql_real_escape_string($id); 

    $getid = "SELECT first_name, last_name FROM users WHERE user_id = $id"; 

    $result = mysql_query($getid) or die('<pre>' . mysql_error() . '</pre>'); 

    $num = mysql_numrows($result); 

    $i=0; 

    while ($i < $num) { 

     $first = mysql_result($result,$i,"first_name"); 
     $last = mysql_result($result,$i,"last_name"); 

     echo '<pre>'; 
     echo 'ID: ' . $id . '<br>First name: ' . $first . '<br>Surname: ' . $last; 
     echo '</pre>'; 

     $i++; 
    } 
} 
?>

儘管事實上它使用了mysql_real_escape_string，攻擊者仍然可以注入不帶引號的代碼。

這是DVWA存在漏洞的Web應用程序的一部分。

請問函數mysql_real_escape_string（）塊引號，但對我來說，似乎是讓沒有引號在所有...

，對嗎？

來源

2013-02-03 user1990170

[**'mysql_XXX'函數已被棄用**]（http://www.php.net/manual/en/faq.databases.php#faq.databases.mysql.deprecated）。 –

[此擴展從PHP 5.5.0開始已棄用，並且將來會被刪除]（http://php.net/manual/en/function.mysql-real-escape-string.php） – rlatief

爲什麼不使用對於一個int var只是'$ id =（int）$ _GET ['id']'？ –