为什么使用mysql预处理语句比使用普通转义功能更安全？
在另一个问题中有一条评论说：
“涉及数据库查询时，请始终尝试使用预先准备好的参数化查询。mysqli和PDO库支持此操作。这比使用转义函数（例如mysql_real_escape_string）绝对安全。”
资源
因此，我想问的是：为什么准备好的参数化查询更安全？
展开
收起
1
条回答
写回答
写回答
-
我认为这里的人们所缺少的重要一点是，有了支持参数化查询的数据库，就不必担心“转义”。数据库引擎不会将绑定的变量组合到SQL语句中，然后再分析整个内容。绑定变量保持独立，并且永远不会解析为通用SQL语句。
这就是安全性和速度的来源。数据库引擎知道占位符仅包含数据，因此永远不会将其解析为完整的SQL语句。当您一次准备一条语句然后执行多次时，就会提速。典型示例是将多个记录插入到同一表中。在这种情况下，数据库引擎仅需要解析，优化等一次。
现在，数据库抽象库是一个难题。他们有时只是通过以适当的转义将绑定变量插入SQL语句中来伪造它。尽管如此，这总比自己动手做更好。来源：stack overflow
2020-05-11 16:57:06赞同 展开评论 打赏
问答标签：
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
相关问答
问答排行榜
最热
最新
推荐问答
相关文章
相关电子书
更多
