本文共 412 字，大约阅读时间需要 1 分钟。

/转义用户数据，纺织sql注入

public function escaprString($data){   return mysqli_real_escape_string($data,self::$link); }

$admin_name_escape=$this->_dao->escaprString($admin_name);//调用方法，得到转义的字符串

$admin_pass_escape=$this->_dao->escaprString($admin_pass); $sql="select *from info where admin_name=$admin_name_escape and admin_pass=$admin_pass_escape"; $row=$this->_dao->getRow($sql);

魔术引号即将淘汰；

在这里返回值前后都加上单引号，这样在SQL语句中就不用加单引号了；