請教sql注入問題

大家好 前幾天做了個網站 考慮到我沒有做sql防注入 這幾天看了一些案列 用在我自己的網站上 卻沒反應 現在請教下 我這樣寫 如何構建sql代碼才能被注入呢？
主要語句就是這個
include "../admin/connss.php";
$id=$_GET[id];
$sql=mysql_query("select * from news where id='$id'");
$row = mysql_fetch_array($sql);
?>

其他的都是顯示的 沒什麼用 我感覺我沒做過濾 正常這種應該被注入啊 但是我試了一些方法 沒什麼用 請教下
謝謝

回複討論(解決方案)

addslashes或者mysql_real_escape_string都可以轉義欄位 防止注入

addslashes或者mysql_real_escape_string都可以轉義欄位 防止注入

請問，如果我用mysql資料庫，只需mysql_real_escape_string，不進行其他動作就可以防止mysql注入嗎？

用PDO串連吧，mysql_real_escape_string在新版本的PHP已經被摒棄了，addslashes根本不可靠。

addslashes或者mysql_real_escape_string都可以轉義欄位 防止注入

我的意思是 對於這段代碼 如何構建一個sql注入？ 謝謝

-- 你的程式設計是這個樣子的： -- $id=“100”select ....from... where ID = '100' ; -- SQL注入的結果是下面的樣子:-- $id = "100' or '1' ='1"select .... from .... where ID ='100' or '1' ='1' 

-- 你的程式設計是這個樣子的： -- $id=“100”select ....from... where ID = '100' ; -- SQL注入的結果是下面的樣子:-- $id = "100' or '1' ='1"select .... from .... where ID ='100' or '1' ='1' 

但是發現實際並不能注入啊？ 什麼願意呢

-- 你的程式設計是這個樣子的： -- $id=“100”select ....from... where ID = '100' ; -- SQL注入的結果是下面的樣子:-- $id = "100' or '1' ='1"select .... from .... where ID ='100' or '1' ='1' 

但是發現實際並不能注入啊？ 什麼願意呢

自行去掉雙引號。

include "../admin/connss.php";
$id=INTVAL($_GET[id]);
$sql=mysql_query("select * from news where id='$id'");
$row = mysql_fetch_array($sql);
?>

在後面加一個0

