Question

我对PHP很陌生，并且被告知我的MySQL语句不适合注射。

我有旧的疑问：

$addbook = "INSERT INTO bookings (bookID, startDate, startTime, endDate, endTime) ";
$addtempres .= "VALUES ('".$bookid."', '".$startdate."', '".$starttime."', '".$enddate."', '".$endtime."')";
$insertBook = mysql_query($addbook);

$getblogposts = mysql_query("SELECT * FROM blogposts WHERE deleted = 'no' ORDER BY postID DESC LIMIT 4");

阅读完之后我明白他们是不安全的，我也明白mysql_query已经过时了，并且正在折旧。

然而，我写了很多这些查询，并且认识到它们都陈旧且不安全是令人生畏的，所以我开始尝试保护它们。

所以我这样做了：

$escapedbookid = mysql_real_escape_string($bookid) ;
$escapedstartdate = mysql_real_escape_string($sqlcoldate);
$escapedstarttime = mysql_real_escape_string($forstarttime);
$escapedenddate = mysql_real_escape_string($sqlretdate);
$escapedendtime = mysql_real_escape_string($forendtime);
$escapedactive = mysql_real_escape_string('false');

$addtembook = "INSERT INTO bookings (bookID, startDate, startTime, endDate, endTime) ";
$addtempres .= "VALUES ('".$escapedbookid."', '".$escapedstartdate."', '".$escapedstarttime."', '".$escapedenddate."', '".$escapedendtime."')";
$insertRes = mysql_query($addtempbook);

这更安全吗？我很欣赏当我学习将当前的查询翻译成PDO时，PDO编写的语句更容易，更安全，但我只是想知道我所做的是否使事情更安全？

Answer 1

停止使用mysql_库 - 不推荐使用 - 使用mysqli_库代替（或PDO）。
查看准备好的语句的网页 - http://www.php.net/manual/en/mysqli.prepare.php - 该示例将为您提供有关如何从SQL注入中编写代码的模板。

保护我的MySQL查询

1 个答案: