菜鸟求教关于mysql防注入

Question

在w3school看到这样一个例子:<?php
function check_input($value)
{
// 去除斜杠
if (get_magic_quotes_gpc())
  {
  $value = stripslashes($value);
  }
// 如果不是数字则加引号
if (!is_numeric($value))
  {
  $value = "'" . mysql_real_escape_string($value) . "'";
  }
return $value;
}$con = mysql_connect("localhost", "hello", "321");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }// 进行安全的 SQL
$user = check_input($_POST['user']);
$pwd = check_input($_POST['pwd']);
$sql = "SELECT * FROM users WHERE
user=$user AND password=$pwd";mysql_query($sql);mysql_close($con);
?>这样就可以了？对于上面几个函数用法不太理解mysql_real_escape_string，get_magic_quotes_gpc(),stripslashes.
上面那个好像没有把一些预定义的字符转换为 HTML 实体...

Answer 1

mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。get_magic_quotes_gpc() 获取 magic_quotes_gpc() 的当前配置设置stripslashes 去除反斜杠 手册上都有，为什么不去查呢