Il modo migliore per sfuggire alle stringhe per inserti sql?

Question

Qual è il modo migliore per sfuggire alle stringhe per inserti sql, aggiornamenti?

Voglio consentire caratteri speciali tra cui 'e " ;. È il modo migliore per cercare e sostituire ogni stringa prima di usarla in un'istruzione insert?

Grazie

Duplicato di: Il modo migliore per difendere contro mysql injection e cross site scripting

Answer 1

Dovresti usare query con parametri (quindi, per estensione, una libreria di interfacce DB che supporti query con parametri) in modo che l'iniezione SQL non possa avvenire.

Answer 2

Se stai parlando di valori di dati per i tuoi campi, il modo migliore è utilizzare mysql_real_escape_string () . (Ad alcune persone piace mysqli ; non posso dire di sì.) Se stai parlando di consentire all'utente -inviate domande ... beh, speriamo che non ne parli.