什么是... mysql_real_escape_string？危险吗？

Question

  

可能重复：
  Why shouldn’t I use mysql_* functions in PHP?

hye，我可以在php中使用这样的代码：

$s_username = addslashes(strip_tags($_POST['username'])); 
$s_password = addslashes(strip_tags($_POST['password']));

在此之前使用此

$email = mysql_real_escape_string(strip_tags($_POST['email']));
$username = mysql_real_escape_string(strip_tags($_POST['username']));

...因为很多人说mysql_real_escape_string使用起来很危险？

Answer 1

它已被折旧，这意味着它没有被维护，因此如果发现安全漏洞，PHP开发人员将不会修复它。这并不危险，它只是逃避了可用于sql注入的所有不良字符。

使用mysqli_ *函数或PDO代替。那些实际上正在维护并且更加安全。