blocks|key|4984760|text|是的。当你使用预准备语句时，你是安全的，不会被mysql注入，但是仍然可能有特殊的字符，带标签或者空格，所以你仍然需要注意这些。|type|unstyled|depth|inlineStyleRanges|offset|length|style|BOLD|entityRanges|data|4984761|请参阅PHP:+Is+mysql_real_escape_string+sufficient+for+cleaning+user+input?|4984762|更新：|4984763|您可以安全地避免mysql注入，所以您不应该使用real_mysql_scape_string或任何引号。|CODE|4984764|entityMap|0|LINK|mutability|MUTABLE|url|https://stackoverflow.com/questions/2353666/php-is-mysql-real-escape-string-sufficient-for-cleaning-user-input^0|0|3|0|3|1W|0|0|0|3|0|O|N|0^^$0|@$1|2|3|4|5|6|7|U|8|@$9|V|A|W|B|C]]|D|@]|E|$]]|$1|F|3|G|5|6|7|X|8|@]|D|@$9|Y|A|Z|1|10]]|E|$]]|$1|H|3|I|5|6|7|11|8|@$9|12|A|13|B|C]]|D|@]|E|$]]|$1|J|3|K|5|6|7|14|8|@$9|15|A|16|B|L]]|D|@]|E|$]]|$1|M|3|-4|5|6|7|17|8|@]|D|@]|E|$]]]|N|$O|$5|P|Q|R|E|$S|T]]]]

Yes. When using prepared statements you are safe from mysql injections, but still there could be special characters, strip tags or spaces, so those you will still need to take care of those.

See <a href="https://stackoverflow.com/questions/2353666/php-is-mysql-real-escape-string-sufficient-for-cleaning-user-input">PHP: Is mysql_real_escape_string sufficient for cleaning user input?</a>

UPDATE: 

You are safe from mysql injections so you should not use <code>real_mysql_scape_string</code> or scape any quotes.

blocks|key|1317300|text|在将用户输入提交到数据库之前，应始终对其进行清理。我只会坚持使用mysql_real_escape_string，因为其他的并不是很必要，除非你把它们放回网址上。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|1317301|entityMap^0|0^^$0|@$1|2|3|4|5|6|7|D|8|@]|9|@]|A|$]]|$1|B|3|-4|5|6|7|E|8|@]|9|@]|A|$]]]|C|$]]

You should always sanitize your user inputs before submitting them to the database. I would just stick with mysql_real_escape_string as the others are not that much necessary unless you are putting them back on the URL.

blocks|key|1317364|text|准备好的语句是为了防止您的查询表单被恶意输入破坏。但是有大量的恶意内容在SQL查询中是完全可以接受的，但在稍后重新显示时会攻击浏览器。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|1317365|对进入预准备语句的数据执行mysql_real_escape_string通常是多余的(也有例外，但它们是特殊情况)。|1317366|entityMap^0|0|0^^$0|@$1|2|3|4|5|6|7|F|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|G|8|@]|9|@]|A|$]]|$1|D|3|-4|5|6|7|H|8|@]|9|@]|A|$]]]|E|$]]

Prepared statements are there to keep your query form being subverted by malicious input. But there's plenty of malicious content that is perfectly acceptable in an SQL query, but will attack a browser when redisplayed later.

Doing mysql_real_escape_string on data going into a prepared statement is generally redundant (there are exceptions, but they're special-ish cases).

blocks|key|4984899|text|不是的！不是也不是。如果您已经在使用预准备语句，MySQL需要查看该值，而不是它的某个转义版本。如果您将mysql_real_escape_string添加到一个字符串中，并将该设置为预准备语句的值，那么您就丢弃了它，例如，引号被加倍了！|type|unstyled|depth|inlineStyleRanges|offset|length|style|CODE|BOLD|entityRanges|data|4984900|现在，至于清理数据，这完全取决于业务规则，即什么是有效输入，什么是无效输入。在您的示例中，strip_tags更多地是关于html->raw+(格式)转换，而不是卫生设施。rtrim(ltrim也是如此--这是一次业务转型。|4984901|entityMap^0|1G|O|2C|5|0|2E|B|0^^$0|@$1|2|3|4|5|6|7|K|8|@$9|L|A|M|B|C]|$9|N|A|O|B|D]]|E|@]|F|$]]|$1|G|3|H|5|6|7|P|8|@$9|Q|A|R|B|C]]|E|@]|F|$]]|$1|I|3|-4|5|6|7|S|8|@]|E|@]|F|$]]]|J|$]]

No! No and no. If you are already using prepared statements, MySQL needs to see the value, not some escaped version of it. If you add <code>mysql_real_escape_string</code> to a string and make that the value for a prepared statement, you have just junked it, for example, quotes get doubled up!

Now, as for sanitising data-wise, that's entirely up to the business rules as to what is or is not valid input. In your example, strip_tags is more about html->raw (format) conversion than sanitation. So is <code>rtrim(ltrim</code> - this is a business transformation.

blocks|key|2008921|text|以下是您问题的面向对象的解决方案：|type|unstyled|depth|inlineStyleRanges|entityRanges|data|2008922|public+function+sanitize($var){
++++if(is_array($var))
++++++++foreach($var+as+$k+=>+$v)+$var[$k]+=+$this->db->real_escape_string($v);
++++else
++++++++$var+=+$this->db->real_escape_string($var);
++++return+$var;
}|code-block|syntax|javascript|2008923|entityMap^0|0|0^^$0|@$1|2|3|4|5|6|7|I|8|@]|9|@]|A|$]]|$1|B|3|C|5|D|7|J|8|@]|9|@]|A|$E|F]]|$1|G|3|-4|5|6|7|K|8|@]|9|@]|A|$]]]|H|$]]

Here is an Object orientated solution to your question:
<pre><code>public function sanitize($var){
 if(is_array($var))
 foreach($var as $k =&gt; $v) $var[$k] = $this-&gt;db-&gt;real_escape_string($v);
 else
 $var = $this-&gt;db-&gt;real_escape_string($var);
 return $var;
}
</code></pre>

I'm using mysqli prepared statements. Should I still sanitise the user input with some function like:

<pre><code>function sanitise($string){
 $string = strip_tags($string); // Remove HTML
 $string = htmlspecialchars($string); // Convert characters
 $string = trim(rtrim(ltrim($string))); // Remove spaces
 $string = mysql_real_escape_string($string); // Prevent SQL Injection
 return $string;
}
</code></pre>

Thanks.

should i still sanitise input with mysqli?

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

我使用的是mysqli预准备语句。我是否应该仍然使用如下函数来清理用户输入：function sanitise($string){  $string = strip_tags($string); // Remove HTML  $string = htmlspecialchars($string); // Conver...

问我还应该用mysqli清理输入吗？
EN

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问我还应该用mysqli清理输入吗？EN