什麼是... mysql_real_escape_string？危險嗎？

Question

可能重複：
Why shouldn’t I use mysql_* functions in PHP?

惠，我可以使用一個代碼在PHP這樣的：

$s_username = addslashes(strip_tags($_POST['username'])); 
$s_password = addslashes(strip_tags($_POST['password'])); 

此之前

是使用

$email = mysql_real_escape_string(strip_tags($_POST['email'])); 
$username = mysql_real_escape_string(strip_tags($_POST['username'])); 

...因爲很多人說mysql_real_escape_string使用起來很危險？

Answer 1

它的折舊意味着它沒有被維護，所以如果發現安全漏洞，PHP開發人員不會去修復它。這並不危險，但它只是逃脫了可能用於sql注入的所有不好的字符。

改用mysqli_ *函數或PDO。那些實際上正在維護，並且更安全。