请问一下大家都是怎么防 MYSQL 注入的。菜鸟我一直纠结这个！

[byc8888]

首先肯定要不可信所有外部传入的参数,都得检验！
我常用的有 addslashes mysql_escape_string

但是这两个函数听说不是很可靠。

想请问下大家是用什么方法！

[ijophy]

PDO 预处理

[JamesRuan]

转义，参数化

[Sunyanzi]

@RIcter Drupal 的那个注入漏洞其实跟 PDO 没关系 ... 分明是构装 SQL 时候的逻辑错误 ...

对于 PDO 的 MySQL Driver 而言 ...

正确使用 prepare / execute 和 PDO::ATTR_EMULATE_PREPARES 就是绝对安全的 ...

[vibbow]

大杀器：
http://modsecurity.org/

[huigeer]

PDO Mysqli, 检测方法 sqlmap

[flash866]

PDO预处理。但是用了预处理，就无法返回exec后的影响的行数，要返回行数的话，就必须手工转义。