在
PHP手册中,有一个注释：
Note: If this function is not used to
escape data,the query is vulnerable
to sql Injection Attacks.
MysqL_real_escape_string通常足以避免sql注入.这确实取决于它是无bug的,即它有一些很小的未知机会它是脆弱的(但这还没有在现实世界中表现出来).在概念级别上完全排除sql注入的更好的替代方案是
prepared statements.这两种方法完全取决于您正确应用它们;也就是说,无论如何你都不会保护你.
