在将_GET变量传递给mysqli查询时，这是否仍然有效？

Question

这是我在MySQL_中用来从搜索表单传入变量的代码。我现在使用的是MySQLi_，我想知道传递变量的正确方式是什么。

我目前有：

//Get the "Term" from the search box
    $query=mysql_real_escape_string($_GET['query']);

    $page_str = "SELECT * FROM $tblname WHERE name like '%$query%' or clan like '%$query%'";

    $page_query = mysqli_query($con,$page_str)or die(mysql_error($con));

Answer 1

不，你应该使用mysqli_real_escape_string来实现它。

由于在使用mysqli时不会打开mysql_*数据库连接，因此mysql_real_escape_string将无法工作。

但是，我建议您切换到带有绑定变量的预准备语句，这样您就根本不需要该行。