无需连接到数据库即可替代 mysql_real_escape_string

Question

我希望有一个函数充当 mysql_real_escape_string 而不连接到数据库，因为有时我需要在没有数据库连接的情况下进行干测试。 mysql_escape_string 已被弃用，因此是不可取的。 我的一些发现：

http://www.gamedev.net/community/ forums/topic.asp?topic_id=448909

http://w3schools.invisionzone。 com/index.php?showtopic=20064

Answer 1

如果没有数据库连接，就不可能安全地转义字符串。 mysql_real_escape_string() 和准备好的语句需要连接到数据库，以便它们可以使用适当的字符集转义字符串 - 否则使用多字节字符仍然可能进行 SQL 注入攻击。

如果您只是测试，那么您不妨使用mysql_escape_string()，它不能100%保证免受SQL注入攻击，但如果没有数据库就不可能构建任何更安全的东西联系。

Answer 2

嗯，根据mysql_real_escape_string函数参考页：“mysql_real_escape_string()调用MySQL的库函数mysql_real_escape_string，对以下字符进行转义： \x00、\n、\r、\、'、" 和 \x1a。"

考虑到这一点，那么您发布的第二个链接中给出的函数应该完全满足您的需要：

function mres($value)
{
    $search = array("\\",  "\x00", "\n",  "\r",  "'",  '"', "\x1a");
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");

    return str_replace($search, $replace, $value);
}

Answer 3

与我的其他答案直接相反，即使使用多字节字符，以下函数也可能是安全的。

// replace any non-ascii character with its hex code.
function escape($value) {
    $return = '';
    for($i = 0; $i < strlen($value); ++$i) {
        $char = $value[$i];
        $ord = ord($char);
        if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
            $return .= $char;
        else
            $return .= '\\x' . dechex($ord);
    }
    return $return;
}

我希望比我更有知识的人可以告诉我为什么上面的代码不起作用......

Answer 4

通过进一步的研究，我发现：

http ://dev.mysql.com/doc/refman/5.1/en/news-5-1-11.html

安全修复：

在多字节编码处理中发现 SQL 注入安全漏洞。 该错误存在于服务器中，错误地解析了使用 mysql_real_escape_string() C API 函数转义的字符串。

该漏洞由 Josh Berkus 和 Tom Lane 发现并报告，作为 OSDB 联盟项目间安全协作的一部分。 有关SQL注入的更多信息，请参阅以下文本。

讨论。 多字节编码处理中发现 SQL 注入安全漏洞。 SQL 注入安全漏洞可能包括以下情况：当用户提供要插入到数据库中的数据时，用户可能会将 SQL 语句注入到服务器将执行的数据中。 针对该漏洞，当使用字符集不感知转义（例如PHP中的addslashes()）时，可以绕过某些多字节字符集（例如SJIS、BIG5和GBK）的转义。 因此，addslashes() 等函数无法防止 SQL 注入攻击。 在服务器端修复这个问题是不可能的。 最好的解决方案是应用程序使用 mysql_real_escape_string() 等函数提供的字符集感知转义。

然而，在 MySQL 服务器解析 mysql_real_escape_string() 输出的方式中检测到一个错误。 因此，即使使用字符集感知函数 mysql_real_escape_string()，SQL 注入也是可能的。 此错误已得到修复。

解决方法。 如果您无法将 MySQL 升级到包含 mysql_real_escape_string() 解析中的错误修复的版本，但运行 MySQL 5.0.1 或更高版本，则可以使用 NO_BACKSLASH_ESCAPES SQL 模式作为解决方法。 （此模式是在 MySQL 5.0.1 中引入的。） NO_BACKSLASH_ESCAPES 启用 SQL 标准兼容模式，其中反斜杠不被视为特殊字符。 结果将是查询失败。

要为当前连接设置此模式，请输入以下 SQL 语句：

SET sql_mode='NO_BACKSLASH_ESCAPES';

您还可以为所有客户端全局设置该模式：

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES';

也可以使用命令行选项 --sql-mode 在服务器启动时自动启用此 SQL 模式=NO_BACKSLASH_ESCAPES 或通过在服务器选项文件（例如，my.cnf 或 my.ini，具体取决于您的系统）中设置 sql-mode=NO_BACKSLASH_ESCAPES。 （错误#8378、CVE-2006-2753）

另请参阅错误#8303。