は、sql攻撃に対して十分なmysqliの「mysqli_real_escape_string」ですか？ただし、URI2Xで示されているように、この尺度は不十分です。注射攻撃。たとえば、次のコードは依然として脆弱である可能性があります。 $ query = "select * from users where email = '"。 $電子メール。 "'";

の場合、SQL注入を防ぐ最も効果的な方法は、準備されたステートメントを採用することです。準備されたステートメントは、データの汚染を防止し、クエリ文字列からデータを分離します。 $ stmt-> bind_param（ 'ss'、$ email、$ psw）; $ email = mysqli_real_escape_string（$ db_con、$ _post ['email']）; $ psw = mysqli_real_escape_string（$ db_con、$ _post ['psw']）; $ stmt-> execute（）;

$email = mysqli_real_escape_string($db_con, $_POST['email']);
$query = "SELECT * FROM users WHERE email = '" . $email . "'";