mysql - PHP如果不使用PDO，在构造SQL语句的时候，如何杜绝注入?

问题描述

PHP如果不使用PDO，在构造SQL语句的时候，如何杜绝注入?

sprint 格式化字符串能杜绝吗？

问题解答

不能。一定要转义特殊字符如引号、反引号。一定要注意数据库的编码。一定要过滤语句中的特殊编码。pdo使用了数据库的参数绑定，所以避免了注入。