如何安全过滤用户提交的数据提交到数据库

Question

sql注入总是无孔不入（ps：' or 1=1#），该如何安全的过滤好呢（我用的php和mysql_connect）?

Answer 1

select * from users where name = @name

参数化查询（Parameterized Query 或 Parameterized Statement）是访问数据库时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值。

在使用参数化查询的情况下，数据库服务器不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有指令，也不会被数据库运行。Access、SQL Server、MySQL、SQLite等常用数据库都支持参数化查询。