Indsætte række i en MySQL database med MySQLi

Nej.

Drop escape og brug prepared statement.

#1 Jeg har prøvet at se på det, men det ser meget svært ud.

Og koden bliver meget svær at gennemskue, eller er det bare mig der gør det forkert?

Jeg synes ikke at det er saa slemt.

Eksempel:

http://www.vajhoej.dk/arne/articles/phpdb.html#mysqli_oo

Ja det ser ikke så svært ud.

Men så mangler jeg lige at finde ud af hvordan man undgår SQL injection, hvis man bruger prepared statement.

Det behøver du ikke længere.

Injections sker fordi du normalt sender hele instruktionen til SQL enginen som en streng, hvor visse tegn betyder nogle bestemte ting. Hvis brugeren efterligner de tegn, kan det opfattes som instruktioner i stedet for værdier, fordi når det bare er en streng, aner serveren ikke hvad der kommer fra brugeren og hvad der er fra koden.

Når du bruger prepared statements, sender du kun instruktionerne som en streng, og værdierne helt separat fra denne, så serveren ikke er i tvivl om hvad der er hvad. Derfor er injections ikke længere et umiddelbart problem.

#5 Nu har jeg ikke afprøvet det. Men vil det sige at man ikke behøver at gøre noget for at beskytte sig mod dette?

' or '1'='1

#6: Ja. Grunden til at det normalt skaber problemer, er at det bliver sendt som én streng med både instruktioner og værdier i, og ' derfor kan opfattes som afslutningen på en værdi, selvom det efterfølgende er en del af værdien.
Med prepared statements er værdier ikke begrænset af anførselstegn eller noget andet tegn. De sendes helt separat til databaseserveren.

http://www.vajhoej.dk/arne/articles/prepparam.html

har en laengere forklaring omkring det. Og flere mysqli eksempler.