PHP函數addslashes與mysql_real_escape_string區別分析

CREATE TABLE users( username VARCHAR(32) CHARACTER SET GBK, password VARCHAR(32) CHARACTER SET GBK, PRIMARY KEY(username) ); 複製代碼 例子，類比只使用addslashes（或magic_quotes_gpc）對查詢資料進行轉義時的情況： $mysql = array(); $db = mysqli_init(); $db->real_connect('localhost', 'lorui', 'lorui.com', 'lorui_db'); /* SQL注入樣本 */ $_POST['username'] = chr(0xbf) . chr(0×27) . ‘ OR username = username /*'; $_POST['password'] = ‘guess'; $mysql['username'] = addslashes($_POST['username']); $mysql['password'] = addslashes($_POST['password']); $sql = “SELECT * FROM users WHERE username = ‘{$mysql['username']}' AND password = ‘{$mysql['password']}'”; $result = $db->query($sql); if ($result->num_rows) { /* 成功 */ } else { /* 失敗 */ } 複製代碼 儘管使用了addslashes，還是可以在不知道使用者名稱和密碼的情況下成功登入。可以輕鬆的利用這個漏洞進行SQL注入。避免這種漏洞，使用mysql_real_escape_string、準備語句（Prepared Statements，即“參數化查詢”）或任意一款主流的資料庫抽象類別庫。

