准备好的语句和SQL注入

Question

我正在创建一个回复票系统，并且遇到了这个问题。由于我使用的是mysqli_real_escape_string，因此它在回复文本中添加了反斜杠。由于我正在使用准备好的语句和bind_param，可以安全地删除mysqli转义字符串吗？或者会打开SQL注入？谢谢！！

Answer 1

简单的答案，没有。 SQL注入包括输入用作SQL控件本身的一部分的字符串，而不是查询部分的值。通过参数化查询，您基本上将变量覆盖掉了，该变量覆盖受* _escape_string调用保护的情况，并且更安全。