أفضل طريقة للهروب من سلاسل إدراج SQL؟

Question

ما هي أفضل طريقة للهروب من سلاسل إدراجات SQL والتحديثات؟

أريد السماح بأحرف خاصة بما في ذلك "" و"".هل هي أفضل طريقة للبحث عن كل سلسلة واستبدالها قبل استخدامها في عبارة الإدراج؟

شكرًا

نسخة مكررة من: أفضل طريقة للدفاع ضد حقن MySQL والبرمجة النصية عبر المواقع

Answer 1

ويجب أن تكون باستخدام استعلامات معلمات (حتى استطرادا، مكتبة واجهة DB التي تدعم استعلامات بمعلمات) بحيث حقن SQL لا يمكن أن يحدث.

Answer 2

إذا كنت تتحدث عن قيم البيانات لحقولك، فإن أفضل طريقة هي استخدامها mysql_real_escape_string().(بعض الناس يحبون mysqli;لا أستطيع أن أقول إنني أفعل ذلك.) إذا كنت تتحدث عن السماح بالاستعلامات التي يرسلها المستخدم...حسنا، دعونا نأمل أنك لا تتحدث عن ذلك.