所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造(或者影响)动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。

第一种方法

     prepare($sql);//第二次将变量（参数）扔到服务器的SQL语句相应位置，给预处理语句绑定参数$stm->bindParam(1,$Sclass);$stm->bindParam(2,$cla);$Sclass  = "7";$cla = "七班";//执行$stm->execute();

　　

第一种方法简写

     prepare($sql);//定义索引数组$arr = array("8","八班");//执行$stm->execute($arr);

　　

第二种方法

     prepare($sql);//造一个数组$arr = array("Sclass"=>"10","cla"=>"十班");//执行$stm->execute($arr);

　　

 

举例，第二种情况简单，建议应用第二种方法

添加数据
     
      
       代号：
        
      
      
       班级：
        
      
      
     

　　

     prepare($sql);//执行$stm->execute($_POST);