正确转义MySQLI |查询预处理语句

我已经读过了:

将帮助你避免注射。因为转义只是一个字符串格式化工具，而不是任何形式的防注入器。图。然而，转义与预处理语句有一些共同之处:它们都不能保证你不会注射您只使用它来对付臭名昭著的"用户输入"，而不是作为构建任何查询的严格规则，尽管数据源。如果您需要插入的不是数据，而是标识符或关键字。

在下面的帖子:是动态mysql查询与sql转义一样安全的准备语句?

我的问题是使用

$Var = "UserInput Data Possible SQL Injection";
$mysqli->real_escape_string($Var);

不提供对SQL注入的保护?

我想使用$mysqli->query();，所以我可以使用fetch_array(MYSQLI_ASSOC);，因为坦率地说，我不知道如何在使用prepared语句后获取结果作为数组。

所以如果我在数据库连接中有这个:

$STD = new mysqli('localhost', 'root', 'xx', 'xx');
$STD->set_charset('utf8');
if ($STD->connect_error) {
    die("Standard Access Has Been Revoked. Please Contact Administration"); 
}elseif (!$STD){
die ("Other problem With Connecting To Database, Please Contact Administration");
}

http://php.net/manual/en/mysqli.real-escape-string.php

以上列表:

谨慎Security:默认字符集字符集必须在服务器级别设置，或者使用API函数mysqli_set_charset()设置，以便影响mysqli_real_escape_string()。

链接到:http://php.net/manual/en/mysqli.set-charset.php

我的总体问题可以分为三个选项，第一个是要求prepared语句的fetch_array()等同，这将提供完整的SQL注入预防，因为准备好的语句发送原始数据。

我使用查询作为:

$GetCompletedQuery = $STD->query("SELECT Status FROM UserCompletion WHERE `UserID`=' ". $STD->real_escape_string($_SESSION['UID']) ."'");
$GetCompletedArray = $GetCompletedQuery->fetch_array(MYSQLI_ASSOC);

返回:

Array ([Status] => 1)

但是使用预处理语句:

$GetCompletedQuery = $STD->prepare("SELECT Status FROM UserCompletion WHERE `UserID`=?");
$GetCompletedQuery->bind_param('i', $_SESSION['UID']);
$GetCompletedQuery->execute();
$GetCompletedArray = $GetCompletedQuery->fetch_row;
print_r($GetCompletedArray);

返回:

致命错误:在/var/www/new/api/constants .php中的非对象上调用成员函数fetch_row()

当我尝试fetch_array()时，也出现了同样的情况，我知道不能与准备好的语句一起使用。

那么使用预处理语句的选项是什么呢?

第二个问题

如果我使用My Usual Query作为:

$GetCompletedQuery = $STD->query("SELECT Status FROM UserCompletion WHERE `UserID`=' ". $STD->real_escape_string($_SESSION['UID']) ."'");

这使我能够使用fetch_array();的数据妥善保护从SQL注入?

第三个问题:

我应该逃避/保护从SQL注入的$_SESSION['UID'];，因为这是分配在以下庄园:

$InnerJoinQuery = $STD->query("
        SELECT Users.ID, Users.Username, Users.Password, UserInformation.LastName, UserInformation.Firstname, UserInformation.DOB
        FROM Users
        INNER JOIN UserInformation
        ON Users.ID = UserInformation.UserID WHERE Users.Username = '".$_SESSION['real_name']."'");
        $InnerJoinArray = $InnerJoinQuery->fetch_array(MYSQLI_ASSOC);
    $_SESSION['UID'] = $InnerJoinArray['ID'];
    $_SESSION['Password'] = $InnerJoinArray['Password'];
    $_SESSION['Firstname'] = $InnerJoinArray['Firstname'];
    $_SESSION['LastName'] = $InnerJoinArray['LastName'];
    $_SESSION['DOB'] = $InnerJoinArray['DOB'];

这段代码解释了:

User以用户名&密码时，文件根据$_SESSION['real_name'];从数据库获取信息并将结果添加到$_SESSION数组中，将每个结果添加到不同的键中。

这个块的问题是，当$_SESSION['UID'];通过基于$_SESSION['real_name'];的数据库分配时，我是否应该逃避/保护SQL注入

感谢您花时间阅读这篇文章。