新手求解，为啥主流的CMS，论坛都没见使用MYSQL的参数化查询呢？

Question

ASP.NET 基本上都用参数化查询，来防止SQL注入了。。可是PHP，经常见那个，这个。。程序又有SQL注入漏洞了。。是不是PHP的参数化查询不行的？还是另有原因啊？请各位大大说说。。

Answer 1

lz 可以去看看 php 的PDO

Answer 2

怎么没有。
prepare语句就是参数化查询的一种吧。
话说：除非允许用户执行整条的sql语句，良好的php程序几乎不存在sql注入的可能性。