php - 防止没有准备好的语句的mysql注入的手动功能

Question

我有一个网站，它在所有 mysql 查询中使用自定义函数来添加斜杠，如下所示：

function custom_addslashes($str) {
    return mysql_real_escape_string($str);
}

最近我发现 mysql_real_escape_string 已被弃用。我有两个选择。任何一个

1. 浏览整个站点并转换为每个页面的准备好的语句，（啊）或

2. 修改上面的函数。我认为修改上述函数以使用 PDO 是不可能的，因为它用于许多不同的查询。

有没有做选项2的好方法。类似的东西？

function custom_addslashes($str) {
    return  strtr($str, array("\0" => "", "\\" => "\","'","\\'"));
}

澄清了这个问题

Answer 1

这对所有场景都足够了吗？

不。

如果没有，应该添加什么？

准备好的陈述

我不想使用 PDO/Mysqli 。太复杂。并且 mysql_real_escape_string 已被弃用。

我这辈子从没想过会有这样的结论。