在 PHP 中清理发往数据库的用户输入

Question

我有这个代码：

$query = "select id from votes where username = '$user' and article_id  = $this->id";

我尝试使用这个代码来清理它：

$query = sprintf("select id from votes where username = '$user' and article_id = $this->id", 
    mysql_real_escape_string($user), 
    mysql_real_escape_string($password));

但是我在 mysql_real_escape 行中收到此错误：

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'mexautos'@'localhost' (using password: NO) in /home/mexautos/public_html/kiubbo/data/article.php on line 145 Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: A link to the server could not be established in /home/mexautos/public_html/kiubbo/data/article.php on line 145 Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'mexautos'@'localhost' (using password: NO) in /home/mexautos/public_html/kiubbo/data/article.php on line 146 Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: A link to the server could not be established in /home/mexautos/public_html/kiubbo/data/article.php on line 146

我在这里获取用户名，我不知道它是否足够安全：

function getUsername(){ return $this->username; }

Thx

Answer 1

我建议使用成熟的数据库抽象层，例如 Zend_Db （有那里有很多）。 对于生产系统，我不建议实施您自己的自制解决方案。

Answer 2

就像其他人所说，不是“$user”而是“%s”，并且您需要一个开放的连接。

@托马拉克
sprintf 更快 - 这就是使用它的原因 - 它是一个本机 C 函数。

Answer 3

您需要先建立 mysql 连接，然后才能使用 mysql_real_escape_string。

Answer 4

我建议使用 准备好的语句 代替 sprintf

Answer 5

不确定这是否是导致您问题的原因，但我相信 sprintf 语句中的变量不应该是 '$user' 和 '$this->id'，而应该是 '%s'

https://www.php.net/sprintf

Answer 6

警告：mysql_real_escape_string()
[function.mysql-real-escape-string]：
用户访问被拒绝
'mexautos'@'localhost'（使用
密码：否）

警告：mysql_real_escape_string()
[function.mysql-real-escape-string]：A
无法链接到服务器
成立

您检查链接了吗？ 是否活跃？ 使用前需要先连接 mysql_real_escape_string()< /a>
你是不是忘记设置密码了？

尝试：（

mysql -u mexautos -p

如果没有密码，请输入 Enter）

另外，检查您的 sprintf() 函数，您需要使用 %s 绑定变量

$a = 'Foo';
$b = 'Bar';
$foo = sprintf('Foo Bar %s %s', $a, $b);

Answer 7

您需要一个连接才能使用 mysql_real_escape_string()，因为它使用服务器的编码类型来帮助清理。

另外 sprintf() 应该看起来像这样

$query = sprintf("SELECT id FROM votes WHERE username = '%s' and article_id = %d", 
    mysql_real_escape_string($user), 
    mysql_real_escape_string($password));