mysql - prepare ステートメントを使用せずに単一引用符とバックスラッシュをエスケープするだけで SQL インジェクションを回避できますか?

Question

たとえば、ログイン名「login_name」を「\」と入力すると、次の SQL がスペルアウトされます: {code...} ログイン名「login_name」を「' または 1 = 1」と入力すると、次の SQL がスペルアウトされます: {code...} ...} これで SQL インジェクションを回避できるでしょうか?

PHPz · Answer

いいえ、login_name が ' または 1 = 1 であるとします。エスケープ後の結果はどうなりますか?

mysql - prepare ステートメントを使用せずに単一引用符とバックスラッシュをエスケープするだけで SQL インジェクションを回避できますか?

全員に返信(1)返信します