请评估该代码是否可有效抵御MySQL注入以提升代码安全性

Hey 朋友，咱们来拆解下你这段代码的安全性：

首先得说，这段代码能挡住一些基础的SQL注入尝试，但绝对算不上“足以防范”，具体原因和改进方向如下：

现有代码的作用 #

你用mysql_real_escape_string()对每个用户输入的参数做了转义，再通过sprintf()拼接SQL语句。这个操作确实能处理单引号、反斜杠这类常见的注入字符，在字符集配置正确的前提下，能抵御一些初级的注入攻击。

但它存在致命的局限性 #

• mysql_*扩展已被彻底淘汰：这套函数早在PHP 5.5就被标记为废弃，PHP 7直接移除了它。继续用意味着你的代码依赖于一个不再维护的工具，后续可能遇到兼容性问题，甚至潜在的未被发现的安全漏洞。
• 转义效果依赖字符集配置：mysql_real_escape_string()的有效性完全绑定当前数据库连接的字符集。如果连接字符集和表的字符集不匹配（比如连接用latin1，表用utf8mb4），转义会直接失效，注入风险立刻回来。
• 人为失误风险极高：只要有一个参数忘记用mysql_real_escape_string()处理，或者拼接SQL时引号写错了，马上就会出现注入漏洞。这种靠手动处理的方式，容错率太低。
• 扩展性差：如果后续要把参数用到表名、字段名、排序规则这类位置，转义完全没用——虽然你的代码里参数都在值的位置，但这也限制了代码的扩展能力。

更安全的替代方案：预处理语句 #

现在防范SQL注入的标准方案是用预处理语句（Prepared Statements），配合PDO或者MySQLi扩展。这种方式会把SQL逻辑和用户数据完全分开，从根源上避免注入问题，而且不需要手动处理转义，也不存在字符集依赖的问题。

给你举个PDO的示例：

// 初始化PDO连接（记得替换成你的数据库信息）
$pdo = new PDO('mysql:host=localhost;dbname=your_db;charset=utf8mb4', 'db_user', 'db_pass');

// 准备预处理SQL语句（注意id如果是自增主键，不需要在INSERT里指定）
$stmt = $pdo->prepare("INSERT INTO `members` (`username`, `password`, `first_name`, `last_name`) VALUES (:username, :password, :first_name, :last_name)");

// 绑定参数并执行
$stmt->execute([
    'username' => $_POST['username'],
    'password' => $_POST['password'],
    'first_name' => $_POST['first_name'],
    'last_name' => $_POST['last_name']
]);

总结 #

你的现有代码能应付一些简单场景，但隐患太多，强烈建议你立刻升级到预处理语句方案，同时彻底换掉已经废弃的mysql_*函数，这才是真正能有效防范SQL注入的做法。

内容的提问来源于stack exchange，提问作者Wilf