必须转义哪些字符才能防止 (My)SQL 注入？

我正在使用 MySQL API 的功能

mysql_real_escape_string()

根据文档，它转义了以下字符：

\0
\n
\r
\
'
"
\Z

现在，我查看了 OWASP.org 的 ESAPI 安全库，在 Python 端口中它有以下代码（http://code.google.com/p/owasp-esapi-python/source/browse/esapi/codecs/mysql.py http://code.google.com/p/owasp-esapi-python/source/browse/esapi/codecs/mysql.py):

        """
        Encodes a character for MySQL.
        """
        lookup = {
        0x00 : "\\0",
        0x08 : "\\b",
        0x09 : "\\t",
        0x0a : "\\n",
        0x0d : "\\r",
        0x1a : "\\Z",
        0x22 : '\\"',
        0x25 : "\\%",
        0x27 : "\\'",
        0x5c : "\\\\",
        0x5f : "\\_",
        }

现在，我想知道是否真的需要转义所有这些字符。我明白为什么 % 和 _ 在那里，它们是 LIKE 运算符中的元字符，但我无法简单地理解为什么它们添加退格键和制表符字符 (\b \t)？如果您进行以下查询，是否存在安全问题：

SELECT a FROM b WHERE c = '...user input ...';

用户输入中哪里包含制表符或退格字符？

我的问题是：为什么他们在 ESAPI 安全库中包含 \b \t ？在那儿any您可能需要转义这些字符的情况？

关于退格字符的猜测：假设我向您发送一封电子邮件“嗨，这是根据您的需要更新数据库的查询”和一个附加的文本文件

INSERT INTO students VALUES ("Bobby Tables",12,"abc",3.6);

你对文件进行cat，看看它没问题，然后将文件通过管道传输到MySQL。然而你不知道的是我把

DROP TABLE students;\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b

在您没有看到的 INSERT 语句之前，因为在控制台输出上退格键覆盖了它。嘭！

不过，这只是一个猜测。

编辑（无法抗拒）：