安全代码与否？ （需要帮助）

Question

此代码是否可安全地用于我的网站？没有sql注入或黑客攻击，是或否？我不想被黑客攻击等

<?php 

$db = new mysqli ("localhost", "-", "-", "-"); 

if($_GET['look'] && $_GET['username']) 
{ 

    $username = $db->real_escape_string($_GET['username']); 
    $look = $db->query("SELECT look FROM users WHERE username = '".$username."'")->fetch_assoc(); 
    echo $look['look']; 
} 

if($_GET['missie'] && $_GET['username']) 
{ 
    $username = $db->real_escape_string($_GET['username']); 
    $motto = $db->query("SELECT motto FROM users WHERE username = '".$username."'")->fetch_assoc(); 
    echo $motto['motto']; 
} 

if($_GET['while'] && $_GET['status']) 
{ 
    $status = $db->real_escape_string($_GET['status']); 
    $motto = $db->query("SELECT * FROM users WHERE motto = '".$status."'"); 
    while($lol = $motto->fetch_assoc()) { 
     echo $lol['username'] . '/'; 
    } 
} 

?> 

，我怎么能提高呢？

Answer 1

如果你看一下mysql_real_escape_string的功能描述，它指出

mysql_real_escape_string - 字符串中的转义特殊字符用在SQL语句中

所以它会逃离你的参数，但我不会建议完全依赖于此。

在未来的版本中，php将不再支持mysql或mysqli，您将需要使用PDO。我已经多次用于自己的项目的一个很好的资源是http://wiki.hashphp.org/PDO_Tutorial_for_MySQL_Developers。

PDO允许您创建预先准备好的语句，并为您避开参数并保护自己免受sql注入。这里是你如何能做到的例子，使用PDO：

$db = new \PDO('mysql:host=localhost;dbname=test;charset=utf8', 'username', 'password'); 
$stmt = $db->prepare(' 
    SELECT * 
    FROM `book` AS b 
    WHERE b.genre = ? 
'); 

$stmt->execute(array('fantasy')); // Will replace the ? with 'fantasy' and escape it