帝国模板里直接写SQL没过滤被拖库，全用自带标签调用，再也没出过注入

新手二开帝国CMS，在模板里直接写SQL查数据库，搞出了SQL注入漏洞，其实帝国CMS有专门的调用标签，别自己写SQL。第一，调用数据用帝国自带的标签，别在模板里直接写SQL，容易出注入；第二，必须写SQL的时候，做过滤，别直接拼用户参数；第三，标签里的参数别写死ID，不然换栏目就乱；第四，改完模板测一下，别SQL报错直接暴露在前台。

我之前在帝国模板里直接写SQL，没做过滤，被人构造参数拖库，之后全用帝国自带的标签调用数据，再也没出过注入问题。很多新手觉得自己写SQL灵活，其实没做过滤，就是大漏洞。