PDO防止mysql注入（三种方式）

PDO的简述

pdo数据对象扩展是php访问数据库的一个轻量级接口，PDO 提供了一个数据访问抽象层，这意味着，不管使用哪种数据库，都可以用相同的函数（方法）来查询和获取数据。

防止mysql的措施

1. 使用quote过滤特殊字符，为SQL语句中的字符串添加引号，转为字符串

$dbms='mysql';     //数据库类型
$host='127.0.0.1'; //数据库主机名
$dbName='test';    //使用的数据库
$user='root';      //数据库连接用户名
$pass='123456';    //对应的密码
$dsn="$dbms:host=$host;dbname=$dbName";
$pdo = new PDO($dsn, $user, $pass); //初始化一个PDO对象
$username='1 or 1=1';
$username=$pdo->quote($username);
$sql="select * from recorders where id={$username}";
var_dump($sql);exit();
$stmt=$pdo->query($sql);
var_dump($stmt->rowCount());

• 未使用quote过滤sql语句是

select * from recorders where id=1 or 1=1
</