使用is_string()是防御SQL注入的有效手段吗？基于PHP+MySQL的问询

嘿，先给你点个赞，能意识到要对用户输入做清理来防范SQL注入，这个安全意识已经很棒了！你提到用mysql_real_escape_string()处理$string这类用户输入，再执行INSERT语句，这个思路在早年确实是主流的防护手段——它确实能转义单引号、反斜杠这些特殊字符，像你举例的haha'、inj''这类简单的注入尝试，确实能被拦下来。

不过这里有几个需要注意的坑，得跟你好好聊聊：

• 字符集依赖问题：mysql_real_escape_string()的有效性完全依赖当前数据库连接的字符集设置，如果你的连接没指定正确的字符集（比如没设成UTF-8），有些多字节字符的注入尝试可能会绕过这个函数的防护。
• API已被淘汰：mysql_*系列函数早在PHP 5.5就被标记为废弃了，PHP 7更是直接移除了这些函数，现在用它们不仅会有兼容性问题，后续的安全维护也没保障。
• 只适用于字符串类型：这个函数只对字符串参数有效，如果是数字类型的参数，仅仅用它处理还不够，必须配合类型转换（比如(int)$user_input），不然还是可能出现注入漏洞。

更安全靠谱的替代方案：预处理语句（Prepared Statements） #

现在业内公认最有效的防SQL注入手段就是预处理语句，它把SQL语句的结构和用户输入的数据彻底分开——数据库先解析好语句的固定结构，再把用户输入作为“纯数据”绑定进去执行，从根源上杜绝了注入的可能。

给你举两个常用的实现例子：

用mysqli写预处理语句

// 先建立mysqli连接
$conn = new mysqli('localhost', '你的用户名', '你的密码', '数据库名');
if ($conn->connect_error) {
    die("连接失败: " . $conn->connect_error);
}

// 准备好带占位符的SQL语句
$stmt = $conn->prepare("INSERT INTO 你的表名 (字段1, 字段2) VALUES (?, ?)");
// 绑定参数：第一个参数是类型标识（s=字符串，i=整数，d=浮点数，b=二进制），后面是要绑定的变量
$stmt->bind_param("ss", $user_input1, $user_input2);

// 给变量赋值（这里直接取用户输入，不需要手动转义）
$user_input1 = $_POST['input1'];
$user_input2 = $_POST['input2'];

// 执行语句
$stmt->execute();

// 用完记得关闭资源
$stmt->close();
$conn->close();

用PDO写预处理语句

PDO的优势是支持多种数据库，写法也更灵活：

try {
    // 建立PDO连接，一定要指定字符集utf8mb4以支持emoji等特殊字符
    $pdo = new PDO('mysql:host=localhost;dbname=数据库名;charset=utf8mb4', '你的用户名', '你的密码');
    // 开启错误异常模式，方便调试
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 准备带命名占位符的SQL语句
    $stmt = $pdo->prepare("INSERT INTO 你的表名 (字段1, 字段2) VALUES (:input1, :input2)");
    // 直接传数组绑定参数并执行，连手动绑定都省了
    $stmt->execute([
        ':input1' => $_POST['input1'],
        ':input2' => $_POST['input2']
    ]);
} catch(PDOException $e) {
    echo "出错啦: " . $e->getMessage();
}

总的来说，mysql_real_escape_string()虽然能应付简单场景，但已经是过时的方案了，预处理语句在安全性、兼容性上都甩它几条街，建议尽快把你的代码迁移到mysqli或者PDO的预处理方案上，这样才能真正安心地防范SQL注入。

内容的提问来源于stack exchange，提问作者user8877134