Was sind die Unterschiede zwischen der Verwendung von prepared Statements und mysql_real_escape_string in Bezug auf die Sicherheit vor SQL-Injection in PHP?

Die Verwendung von prepared Statements bietet eine sicherere Möglichkeit, SQL-Injection-Angriffe in PHP zu verhindern, da sie die Trennung von SQL-Code und Benutzereingaben ermöglichen. Im Gegensatz dazu kann die Verwendung von mysql_real_escape_string potenziell unsicher sein, da sie auf String-Eingaben angewendet wird und nicht alle potenziellen Angriffsszenarien abdecken kann. 

// Prepared Statement Beispiel
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(':username', $username);
$stmt->execute();

// mysql_real_escape_string Beispiel
$username = mysql_real_escape_string($username);
$query = "SELECT * FROM users WHERE username = '$username'";
$result = mysql_query($query);

Keywords

prepared statements mysql_real_escape_string SQL injection security PHP

Related Questions