Có, nhưng có đủ điều kiện.
Bạn cần thoát đúng 100% đầu vào. Và bạn cần đặt đúng bộ ký tự (Nếu bạn đang sử dụng API C, bạn cần gọi mysql_set_character_set() thay vì SET NAMES ). Nếu bạn bỏ lỡ một điều nhỏ nhặt, bạn sẽ dễ bị tổn thương. Vì vậy, nó là có, miễn là bạn làm mọi thứ đúng ...
Và đó là lý do mà nhiều người sẽ giới thiệu các truy vấn đã chuẩn bị sẵn. Không phải vì chúng an toàn hơn. Nhưng vì họ dễ tha thứ hơn ...
