仅仅只是把单引号与反斜杠转义不用 prepare statement 能否避免 sql 注入？

[zjsxwc]

比如我输入登录名 login_name 为 \' 就拼出这种 sql：

SELECT * FROM account WHERE (1) AND (`account`.login_name = '\\\'')

这样能否避免 sql 注入？

[zjsxwc]

@t333st
谢谢回复。

现在我在维护的这个系统，是 utf8 编码的，sql 参数也是单引号包裹的，我想找出个例子能 sql 注入这个系统来说服领导去重构它。

[t333st]

@zjsxwc 有用到 iconv() 这个方法吗。。。

[zjsxwc]

@t333st 没有用 iconv