mysql_real_escape_string 和单引号

Question

我很沮丧。 我希望能够用单引号插入我的数据库名称 - 例如，O'Connor。

因此，当插入数据库时​​，我这样做：

 $lname = mysql_real_escape_string($_POST['lname']);

然后将 $lname 插入数据库。

当它在数据库中时，它显示为奥康纳。

因此，如果我要回忆起网络应用程序中的姓氏，我将不得不使用：

 $lname = stripslashes($r["lname"]);

这一切似乎都工作正常。 但是，我有一个搜索功能，可以搜索姓氏并显示结果。 当我搜索时，我必须搜索奥康纳才能得到任何结果。

你看，我搜索后，文本框自动存储刚刚搜索的值（使用会话）。 所以我的代码是这样的：

 $search = mysql_real_escape_string($_GET['search']);
 $_SESSION['search'] = $search;

就像我之前说的，当我搜索时，我必须使用“O\'Connor”，然后我搜索后，文本框中的值变成“O\\\\'Connor”，

这真是令人沮丧试图弄清楚这一点。 有谁知道我做错了什么？ 谢谢！

编辑：

这是我的 php5.ini 文件，关于魔术引号：

 ; Magic quotes
 ;

 ; Magic quotes for incoming GET/POST/Cookie data.
 magic_quotes_gpc = On

 ; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
 magic_quotes_runtime = Off

 ; Use Sybase-style magic quotes (escape ' with '' instead of \').
 magic_quotes_sybase = Off

但是，我的网站托管在 GoDaddy 上，我没有编辑该文件的权限:(

Answer 1

听起来您的 PHP 配置中启用了 Magic Quotes 。

要检查它是否确实已启用：

echo get_magic_quotes_gpc();

要禁用，请编辑您的php.ini 文件：

; Magic quotes
;

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase = Off

或者将此行添加到您的 .htaccess：

php_flag magic_quotes_gpc Off

Answer 2

魔术引号已启用。 这意味着放置在 post 或 get 或其他类似位置的任何内容都会自动转义，因此初学者不必太担心。 如果我没记错的话，它在当前版本的 PHP 中已被弃用。

您想要处理这个问题，并让脚本在任何配置中都以相同的方式运行，如下所示：

function fixinput($value){
    if (get_magic_quotes_gpc()){
      $value = stripslashes($value);
    }

    return mysql_real_escape_string($value);
}

您可能需要进一步修改它以将非数字数据括在引号中，这是一种常见的变体，但我发现它最好手动放置这些引号。

Answer 3

对 fixinput 函数进行少量编辑，以检查您安装的 PHP 是否确实具有真正的转义字符串（旧版本没有）：

  function fixinput($value){
    if (get_magic_quotes_gpc()){
      $value = stripslashes($value);
    }

    if (function_exists('mysql_real_escape_string')) {
      return mysql_real_escape_string($value);
    }
    else {
      return mysql_escape_string($value);
    }
  }

Answer 4

我不检查 get_magic_quotes_gpc 是否打开/关闭。

我只是这样做 $lname = mysql_real_escape_string(stripslashes($_POST['lname'])); 因此，如果没有任何引用的文本，它不会删除斜杠..如果有引用，它将删除它们。

这对我来说有奇效！

Answer 5

当它在数据库中时，它显示为 O\'Connor。

因此，如果我要回忆起网络应用程序中的姓氏，我将不得不使用：

 $lname = stripslashes($r["lname"]); 
  

错误！ 当您使用 mysql_real_escape_string 转义字符串时，它们仅在查询中转义。 数据库解释查询，因此数据最终进入数据库，没有任何转义字符。 从数据库中提取数据时，您不必必须使用stripslashes。 如果您认为这样做，则意味着数据库中的数据已被破坏。 很可能是因为您打开了魔术引号。

您应该：

• 关闭魔术引号或在全局范围内扭转其效果。 有关详细信息，请参阅手册。
• 使用绑定参数（最佳解决方案）或< /em> 使用 mysql_real_escape_string 转义所有变量。 您应该在构建查询时执行此操作。
• 不要对从数据库中提取的内容执行任何操作。

特别是，不要使用 fixinput 和此处某些答案中列出的变体来创建函数。 这是解决问题的错误方法，因为它会弄乱任何不是来自 http 请求的数据。

Answer 6

您需要做的就是获取搜索查询，mysql_real_escape_string 它，它应该完全没问题。 不过，做到这一点的最佳方法是永远不要存储转义的内容，而只是转义它，所有内容都会进入数据库。

相反，请执行以下操作：

 $_SESSION['search'] = $_GET['search'];
 $search = mysql_real_escape_string($_GET['search']);