请教SQL注入的问题

Question

请问在PHP中如果使用了存储过程，可以防止SQL注入吗？请教大侠给出比较完善的解决方案，谢谢！

Answer 1

关键是你的参数传递前要用mysql_real_escape_string去除控制字符
或者使用bing_param的方式传递参数给SQL

Answer 2

使用bing_param可以防止SQL注入吧？

Answer 3

只要你不是不加判断的使用传入的数据，就没有SQL注入的危险

Answer 4

and char(124)+user+char(124)=0 and '%'='

Answer 5

MYSQL的存储过程使用了参数，这样即使不作判断（先不考虑XSS等问题），至少对数据库不会有破坏吧？谢谢！

Answer 6

调用存储过程，传递参数和查询语句传递参数都应该对参数进行判断，推荐使用bind_param方式来传递，这样才能确保没有注入的风险。