※ 引述《JYHuang (夏天到了，冷不起來了說)》之銘言：
: ※ 引述《foxzgerald (O⊥M)》之銘言：
: : 另外. $sql 字串最好先脫序. 特別是這些查詢字串中的一些變數來自於使用者輸入
: : ($_POST 或是 $_GET 之類的) .. 如果不先脫序. 很容易被 sql injection 攻擊
: : 相關資訊請看 mysql-query 的第二個範例.或者 google :)
: 請問，所謂的脫序是不是泛指將$sql中的特殊符號(例如 ' )
: 做註記處理 (變成\')。
: 使人無法透過url和表單中的變數去中斷並改變mysql_query($sql)的執行結果？
: 透過mysql_escape_string就可以阻絕掉基本的sql injection嗎？
基本上是的。更安全的做法是依照各種變數的屬性制定不同的 filter，
以身分證字號為例：常用的檢測方式便能夠避免 SQL injection。
因此，若使用者輸入的資料天生具備可過濾的特徵，最好先過濾掉，
而 mysql_real_escape_string() 則當作輔助措施。
mysql_real_escape_string() 除了具有阻絕 sql injection的效果外，
由於 binary 檔案（如：圖檔、影片...etc）可能含有脫序字元，
因此直接 insert 進 db 時，小則會發生錯誤、大則引起災難，
此點也必須要注意。
另外要注意的是：PHP.ini 中 magic_quotes_gpc/magic_quotes_sybase 是否開起。
因為這兩個會自動脫序....有時會因為這功能的美意幫了倒忙
http://tw.php.net/manual/en/function.mysql-real-escape-string.php
此點在『Example 1402. A "Best Practice" query』中有詳細範例。
: 另外，我還是看不太懂mysql_escape_string和mysql_real_escape_string的差異
: 是差別在mysql_real_escape_string可以引用參照字嗎？
: 謝謝 :)
這兩個應該是一樣的東西，我剛去查
http://tw.php.net/manual/en/function.mysql-escape-string.php
的 ChangeLog 發現：
Version Description
-----------------------------------------------------------------------
4.3.0 This function became deprecated, do not use this function.
Instead, use mysql_real_escape_string().
mysql_escape_string() 已經不建議使用；建議改用 mysql_real_escape_string()
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.119.199.121
※ 編輯: foxzgerald 來自: 140.119.199.121 (05/11 00:48)