php - 日時文字列入力でのSQLインジェクションを防ぐ

Question

2013-07-29 00:00:00のように、日時形式に従ってフォーマットする必要がある文字列を JS スクリプトから受け取っています。

もちろん、生の MySQL クエリに入力する前に、その入力をサニタイズする必要があります。PHPでそのフォーマットをサニタイズする最良の方法は何ですか?

Answer 1

「最善」は、準備されたステートメントを使用し、DB アダプターに値の特殊文字をエスケープさせることです。

その主題では、あなたの好みが何であれ、実際には問題ではありません。

• http://php.net/manual/en/mysqli.prepare.php
• http://php.net/manual/en/pdo.prepare.php

Knittlで提案されているように、PHP で SQL インジェクションを防ぐにはどうすればよいですか? を参照してください。標準的な答えのために。

Answer 2

最善の方法はPDOを使用することです。

それ以外の場合は、非推奨の mysql_* 関数を使用している場合。mysql_real_escape_string()あなたが探しているものです。