php + mysql:使用不带addslashes()的serialize()安全吗？

Question

在db中插入使用serialize()序列化的数组是完全安全的吗，还是应该在此之前使用addslashes(serialize($array))？或者可以有一些mysql特定的字符？我能用insert删除数据或其他东西吗？

Answer 1

不，这是，一点也不安全，。

而且，您不应该使用mysql_real_escape_string，而应该使用addslashes。或者更好的做法是，将PDO与准备好的语句一起使用，而不是转义。

Answer 2

在数据库中插入序列化数据而不进行特定于数据库的处理是完全*不*安全的。

对于您选择的数据库访问层，您应该使用任何推荐的机制来防止SQL注入；确保查询不被注入的安全性还包括正确地转义数据，因此您将一举两得。

有关具体示例，请参阅How can I prevent SQL injection in PHP?。