1

Скажите пожалуйста, защищает ли кавычки от sql-инъекции. У меня есть такие коды 

mysqli_query($link, "SELECT `kredits` FROM `users` WHERE `mail` = '$mail' AND `password` = '$pass'");

mysqli_query($link, "INSERT INTO  `vivod` (`summa`, `email`) VALUES ('$zsum', '$summal')");

Защищены ли они от sql-инъекции? И если нет то mysqli_real_escape_string может защищать?

Sergey Glazirin
  • 5,648
Davit Sargsyan
  • 19

1 Answers1

2

Нет, не защищают. Попробуй так:

$db = new mysqli(DB_HOST, DB_USER, DB_PASSWORD, DB_NAME); //тут свои данные подставь
$stmt = $this->db->prepare("SELECT `kredits` FROM `users` WHERE `mail` = ? AND `password` = ?");
$stmt->bind_param('ss', $email, $password); //s-string
$stmt->execute();

Ну и вот документация

Walking Negative
  • 355
  • 2
  • 18