php過濾sql注入關鍵詞分析

str_replace替換sql 中的　update 這種做法本身就是錯誤的，　原因如下：

如果sql中本來就有update欄位，如以下的SQL

代碼如下	複製代碼
$sql = "update content = 'update your name ..' where userid=1"

那麼，你用str_replace替換的後果是什嗎？　只要使用者提交的內容中包含有update,

delete, alter均被篡改？　　這是多麼可怕的事！！！

那麼正確的辦法是什麼呢？

代碼如下	複製代碼
$content = mysql教程_real_escape_string($content); $sql = "update content = '$content' where userid=1