PHP MYSQL 用sprintf+mysql_real_escape_string参数化可以防注入吗？
例如：$sql=sprintf("SELECT*FROM'%s'where'%s',mysql_real_escape_string($TableName),mysql_...
例如：
$sql = sprintf("SELECT * FROM '%s' where '%s',mysql_real_escape_string($TableName),mysql_real_escape_string($拼接字符串));
$res = mysql_query($sql);
请问这种情况还能注入吗？ 展开
$sql = sprintf("SELECT * FROM '%s' where '%s',mysql_real_escape_string($TableName),mysql_real_escape_string($拼接字符串));
$res = mysql_query($sql);
请问这种情况还能注入吗？ 展开
3个回答
展开全部
SQL的参数化是目前公认的最有效的防治sql注入的方法。
如果这种情况都还可以注入，那其他的就更没有用了
如果这种情况都还可以注入，那其他的就更没有用了
本回答由提问者推荐
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
推荐律师服务：
若未解决您的问题，请您详细描述您的问题，通过百度律临进行免费专业咨询
