“mysqli_real_escape_string”是否足以避免 SQL 注入或其他 SQL 攻击？[复制]

有人可以告诉我它是否安全，或者它是否容易受到SQL注入攻击或其他SQL攻击？

不。正如 uri2x 所说，请参阅绕过 mysql_real_escape_string（） 的 SQL 注入。

防止 SQL 注入的最佳方法是使用预准备语句。它们将数据（参数）与指令（SQL 查询字符串）分开，并且不会为数据留下任何污染查询结构的空间。预准备语句解决了应用程序安全性的一个基本问题。

对于不能使用预准备语句的情况（例如），为每个特定目的使用非常严格的白名单是保证安全性的唯一方法。LIMIT

// This is a string literal whitelist
switch ($sortby) {
    case 'column_b':
    case 'col_c':
        // If it literally matches here, it's safe to use
        break;
    default:
        $sortby = 'rowid';
}

// Only numeric characters will pass through this part of the code thanks to type casting
$start = (int) $start;
$howmany = (int) $howmany;
if ($start < 0) {
    $start = 0;
}
if ($howmany < 1) {
    $howmany = 1;
}

// The actual query execution
$stmt = $db->prepare(
    "SELECT * FROM table WHERE col = ? ORDER BY {$sortby} ASC LIMIT {$start}, {$howmany}"
);
$stmt->execute(['value']);
$data = $stmt->fetchAll(PDO::FETCH_ASSOC);

我认为上述代码不受 SQL 注入的影响，即使在晦涩难懂的边缘情况下也是如此。如果您使用的是 MySQL，请确保关闭模拟准备。

$db->setAttribute(\PDO::ATTR_EMULATE_PREPARES, false);