php-在mysql_query语句中绑定变量

mysql_query示例：

$query=mysql_query("SELECT `col1`, `col2` FROM `table` WHERE
`col1`='$escapedvariable' ");

我知道以上内容在实践中并不理想.

使用准备和执行更好的查询

$pSt = $dbh->prepare('SELECT col1, col2 FROM table WHERE col1=:col1);

$pSt->execute(array(':col1'=>$escapedvariable);

$status=$pSt->errorCode();

问题：可以将mysql_query与绑定变量一起使用以提高安全性吗？

解决方法:

不,您必须使用mysqli功能或PDO.

标签：sql-injection,mysql,php
来源： https://codeday.me/bug/20191105/1995363.html