如何防止數據注入？

Question

SELECT * FROM用戶WHERE 用戶ID =「+ txtUserId

如何防止數據注入??

下面的代碼是合適的呢？

$username = mysqli_real_escape_string($GET['username']); 
mysql_query("SELECT * FROM tbl_members WHERE username = '".$username."'"); 

Answer 1

PDO將保護您免受打針http://php.net/manual/en/book.pdo.php 使用準備好的語句http://php.net/manual/en/pdo.prepared-statements.php 例如：

$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)"); 
$stmt->bindParam(':name', $name); 
$stmt->bindParam(':value', $value); 
$stmt->execute(); 

這是一個安全代碼