这是至少稍微安全的PHP代码吗?

为什么不使用 array_map() ?

array_map(mysql_real_escape_string, $_POST);

但实际上,您应该使用参数化/准备好的语句。

mysql_real_escape_string() 考虑到当前数据库字符集, mysql_escape_string() 没有。相比之下,前者是更好的选择。

编辑(跟进操作员对问题的编辑):

因为您已经准备好了PDO语句,所以不需要修改您的值。PDO负责一切,这就是关键所在( 如果您真的将所有数据放入参数中,那就是 -仅仅连接字符串来构建SQL语句就会导致PDO或不PDO的灾难)。预先转义值将导致数据库中转义的值。

是的,你应该用 mysql_real_escape_string() 如果你要走那条路。但是确保变量安全发送到数据库的正确方法是使用 Parameterized Queries 在php中通过 mysqli 功能或 PDO .

除了前面的注释外,使用参数化查询的另一个好处是数据库能够进行更好的优化,并且可能使用缓存的查询计划,以便获得更好的性能。