pdo 보안을 위해 일반 sql PHP 코드를 변경하는 방법은 무엇입니까?

Question

가능한 중복 :
Best way to prevent SQL Injection in PHP

는 PDO로 변경 할 필요가 있는가 내가 mysql_real_escape_string를 사용하고 있기 때문에이 코드 안전하며 strip_tags? 다음 코드를 헤더를 수정할 수 없으므로 pdo로 변환 할 수 없습니다.

<?php 
include('config.php'); 
$link =mysql_connect($db_host,$username,$password); 
mysql_select_db($db_name); 

$id= $_POST["uniqi"]; 
$comments= $_POST["comments"]; 
$comments= mysql_real_escape_string($comments); 
$comments = strip_tags($comments); 

$update = "UPDATE mastertable SET comments = '$comments' WHERE id_pk= '$id'"; 
mysql_query($update, $link); 
mysql_close(); 
header('Location: http://www.xxxx.com/xxxxx/xxxx.php?cntmsg=Comment Updated'); 
?> 

Answer 1

이것은 안전 코드가 아닙니다. $id 변수가 코드에 의해 처리되지 않습니다.

$id= $_POST["uniqi"]; 
$id= mysql_real_escape_string($id); 
$id = strip_tags($id);