안녕하세요

코드이그나이터 초보입니다.

전 개발자가 짜 놓은 코드를 보고 있는데 현재

//mysqli 사용

$test = htmlspecialchars(addslashes($this->input->post('test')));

$sql = "SELECT * from table WHERE file_id = '$test'";       

$query = $this->db->query($sql);

이렇게 코드가 쓰이고 있는데 여러 sql injection 코드들을 테스팅 중인데 다 안전히 텍스트로 들어가네요

ex)

Robert'); DROP TABLE User;

INSERT INTO User (name) VALUES (?)  

이대로 쓰여도 괜찮을까요?

감사합니다!