yohgaki's blog - PEAR DBのPostgreSQLドライバのセキュリティホール

「PostgreSQLにアクセスする際に，str_replaceという関数で「’」と「￥」をエスケープしていた。「これはダメダメ」（大垣氏）。マルチバイト環境（特にシフトJIS）でこうした単純なエスケープをしてしまうと，SQLインジェクションが可能になるケースがある」というのの実例。