MySQLi的准备是出于安全考虑吗？

Question

因此，我开始使用 MySQLi 扩展，因为我听说它将来会受到支持。我读到，出于安全原因，我必须使用 prepare() 而不是使用 mysql_real_escape_string() ，例如，当我在查询中使用 $_GET 或 $_POST 时。

这是真的吗？我发现prepare() 非常适合制作可以更改参数的SQL 查询模板。因此脚本在 SQL 级别上也可以是动态的。它真的很有用。但我找不到有关其安全措施的真实信息。它真的可以逃避邪恶的东西并防止注射吗？或者我必须在编程层面上处理它？

例如这段代码安全吗？正如您所看到的，它使用 $_GET 来填充模板，因此如果 MySQLi 准备没有按照我希望的方式工作，那可能会非常危险。

$stmt = $mysqli->prepare('SELECT description,title FROM menu WHERE name = ?');

$stmt->bind_param('s', $n);

$n = $_GET['b'];

$stmt->bind_result($meta_description,$meta_title);
$stmt->execute(); 

Answer 1

准备好的参数不受注入的影响，因为它们是在解析 SQL 后提供给服务器的，即它们不可能被解释为 SQL 片段，而这是 SQL 注入攻击的基础。

在您的示例中，服务器将使用 $_GET['b'] 变量中的任何内容与 name 数据库字段进行比较，但是绝对没有WAY 服务器可能会被欺骗将该文本解释为布尔方程，语句结束后跟删除，...

因此，从设计上来说，它不提供 SQL 注入攻击面，这就是为什么使用准备好的语句比所有类型的语句都要优越得多转义和输入清理方案。