最近的项目需要特别注意sql安全问题，到网上查了一些关于sql注入的，多数是说：

$password = md5($_POST['password']);

select * from user where user='$user' and password='$password'; 不安全，原因是$user = "' or '1=1'" 或者$user = "'; -- " 之类的，登录查询分开两句查就没各种问题了。

例如:

$find = M('User')->where("username='$username'")->find();
$uid = $find['uid'];

$find2 = M('User')->where("uid='$uid'")->find();

$find_password = $find2['password'];

if($find_password == md5($password)){...}


另外，看到一些关于组装sql语句不安全，说是可以在变量中加上

自定义的查询，如：

select * from user ..... (select * from infomation ...) 等，这让我觉得倒是TP的__TABLE__，__PREFIX__字符变的不安全了。(针对TP3.2.3)，因为在提交的数据不知道表前缀的情况下，给字符串加上__TABLE__ 或者 __PREFIX__，又在接收数据后再组装SQL，正好把表前缀自动加上了。

所以 ，我觉得过滤提交数据时，也需要把__TABLE__ 和 __PREFIX__过滤掉。