问SQL注入绕过mysql_real_escape_string（）？

提问于 2017-12-14 11:53:33

回答 1关注 0查看 3.6K

即使使用mysql_real_escape_string()函数，是否有SQL注入的可能性？

SQL是像这样在PHP中构建的：

$login = mysql_real_escape_string(GetFromPost('login'));

$password = mysql_real_escape_string(GetFromPost('password'));

$sql = ""SELECT * FROM table WHERE login='$login' AND password='$password'"";

听到很多人说，即使使用mysql_real_escape_string()函数，这样的代码仍然是危险的，甚至可能破解。

比如这样的经典注入：

aaa' OR 1=1 --

和开发者交流更多问题细节吧，去写回答

相似问题