php - 来自 PHP 表单的用户输入何时会变得有害？

Question

注意：我在我的真实代码中使用准备好的语句，这是一个普遍的问题。

如果用户输入... Robert');DROP TABLE users;-- ... 或类似的东西，代码什么时候会删除我的用户表？

1. 在变量启动时？

$username = $_POST['username'];

2. 当输入被插入到表中？

$sql = "INSERT INTO users (username) VALUES ($username);

3. 何时将输入从数据库调用回网站？

echo "$_GET['username']";

我想知道何时/是否应该使用 mysqli_real_escape_string 或 htmlspecialchars

欢迎任何反馈/批评。谢谢你。

标签： phpmysqli