$t_strSQL = "SELECT a from b....";
if ( mysql_query($t_strSQL) )
{
// 正确的处理
}
else
{
echo "错误! SQL 语句：$t_strSQL \r\n错误信息".mysql_query();
exit;
}这种做法是相当危险和愚蠢的。如果一定要这么做，最好在网站的配置文件中，设一个全局变量或定义一个宏，设一下 debug 标志：
//全局配置文件中：
define("DEBUG_MODE",0); // 1: DEBUG MODE; 0: RELEASE MODE
//调用脚本中：
$t_strSQL = "SELECT a from b....";
if ( mysql_query($t_strSQL) )
{
// 正确的处理
}
else
{
if (DEBUG_MODE)
echo "错误! SQL 语句：$t_strSQL \r\n错误信息".mysql_query();
exit;
}
- 对提交的 sql 语句，进行转义和类型检查。
四. 我写的一个安全参数获取函数
为了防止用户的错误数据和 php + mysql 注入 ，我写了一个函数 PAPI_GetSafeParam()，用来获取安全的参数值：
评论