如何预防sql注入

 

1.数字类型判断

select * form user where id=-1 or 1=1;

需要校验 id 为整型 if(empty($_GET['id']||!is_number($_GET['id'])){ exit()}

 

2.用户名输入 限定单引号 双引号输入 可以用正则表达式来

 

3.特殊字符转义

addslashes转义 单引号 双引号 /

addslashes($user_name) 

mysqli_real_escape_string($db,$user_name)

$db为数据库实例

$user_name传过来的数据