Является ли PHP Serialized Data Data Clean для инъекций Mysql?

Question

Нужно ли мне избегать моих данных объекта, если я сериализую для инъекции mysql?

т.е.

class Object 
{ 
    public $description; 
} 

$obj = new Object(); 
$obj->description = mysql_real_escape_string("this is my crazy string with lot's of bad // characters"); 

$data = serialize($obj); // <-- $data will be stored in DB 

или это будет хватай:

class Object 
{ 
    public $description; 
} 

$obj = new Object(); 
$obj->description = "this is my crazy string with lot's of bad // characters"; 

$data = serialize($obj); 

Answer 1

Run mysql_real_escape_string() после того как вы сериализованная. Это строка, которую вы собираетесь поместить в базу данных в конце концов.

Answer 2

Да, вы должны избегать этого (или использовать подготовленные заявления).

<?php 
$obj = (object) array("--'--'" => "--'--"); 
var_dump(serialize($obj)); 

дает

 
string(44) "O:8:"stdClass":1:{s:6:"--'--'";s:5:"--'--";}" 

Как вы можете видеть, нет никакой возможности избежать.

На боковой ноте вы должны использовать расширение mysqli для нового кода, а не расширение mysql.