php - 使用 mysqli 正确清理多个用户输入

Question

我目前正在使用 mysqli，我想要一种方法来正确清理每个用户输入。我正在寻找最简单的轻量级方法来做到这一点，因为我知道我不应该使用 mysql_real_escape ....

我的查询是这样的

$stmt = $sql->prepare("INSERT INTO Persons (msg, ip, time, main, twit, city, lat, lon, lang)
VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?)");

据我了解，我应该使用函数 bindParam ... 如果我这样使用它，我是否完全保护了我的用户输入？

$stmt->bind_param('sssssssss', $_POST[msg], ('$ip'), ('$date'), '$_POST[main]', '$_POST[twit]',  ('$cit'), ('$lat'), ('$lon'), '$_POST[lang]');
$stmt->execute();
$stmt->close();

如果这不能保护我的用户输入，我该如何正确地做到这一点？

Answer 1

您需要准备声明以确保安全。类似下面的东西（它可能不是 100%，但会给你一个想法）

 $sql = new mysqli("localhost", "my_user", "my_password", "world");


    $stmt = $sql->prepare("INSERT INTO Persons (msg, ip, time, main, twit, city, lat, lon, lang)
        VALUES
        (?, ?, ?, ?, ?, ?, ?, ?, ?)");
        $stmt->bind_param("sssssssss",$_POST[msg], $ip, $date, $_POST[main], $_POST[twit],  $cit, $lat, $lon, $_POST[lang]);
    $stmt->execute();

Answer 2

首先你必须遵循基本的PHP 语法

'$_POST[msg]'将作为文字$_POST[msg]字符串插入，而您期望$_POST['msg'] 变量的值。