php 參數化查詢

在學習注入時，MetInfo cms中出現一個注入點，我尋到源代碼：

$show = $db->get_one("SELECT * FROM $met_column WHERE id=$id and module=1");

不懂php，看到這個，就誤覺得這是參數化。參數化不是能夠防注入麼，怎麼還會有注入點呢。

後面深刻了解發現。所謂的參數話查詢，不是指程序層面的參數話，而是指數據庫接口的參數化。 形式：

fetch_one('select * from user where name=?', @name)

對於php採用了參數查詢後，是能作到防注入的。

能夠了解的php參數化查詢資料

• 使用參數化查詢防止SQL注入
• PHP 中使用參數化查詢