PHP mysql_real_escape_string() ->; stripslashes() 留下多个斜杠

Question

我在使用 PHP/MySQL 转义/剥离字符串时遇到问题 - 似乎总是有多余的斜杠。

---

我们以下面的字符串为例：

<span style="text-decoration:underline;">underline</span>

将字符串添加到数据库时，我使用 mysql_real_escape_string() 对其进行转义，并将以下内容存储在数据库中（编辑：通过直接使用查询数据库来检查这一点mysql 应用程序）：

<span style=\\\"text-decoration:underline;\\\">underline</span>

从数据库中读回时，我通过 stripslashes() 传递字符串，并返回以下内容：

<span style=\"text-decoration:underline;\">underline</span>

由于引号仍然被转义，它破坏了 html 并且文本没有下划线。

---

1. 为什么 mysql_real_escape_string() 添加三个斜杠，而 stripslashes() 删除两个斜杠？我希望他们都添加/删除一个斜杠。
2. 我怎样才能防止这种情况发生？
3. 我以正确的方式处理这个问题吗？

Answer 1

最佳解决方案

在 php.ini 文件中，magic_quotes_gpc 指令可能设置为 on。出于安全原因应禁用此功能。如果您无权访问 php.ini 文件（例如，在共享主机上），您始终可以使用 .htaccess 指令来完成相同的操作（假设这是一个 apache 服务器）。

在 php.ini

magic_quotes_gpc Off

.htaccess 文件中：

php_flag magic_quotes_gpc Off

为什么会发生这种情况？

发生这种情况的原因是由于以下逻辑过程。

1. 需要转义的字符串被发送到服务器。
   • 这是我的字符串。太棒了。
2. Magic Quotes 在到达您的代码之前转义了撇号。
   • 这是我的字符串。太棒了
3. mysql_real_escape_string 现在有两个字符需要转义，反斜杠\\ 以及撇号\'。
   • 这是我的字符串。太棒了
4. 这个新的超级转义字符串存储在数据库中。
5. 当从数据库检索字符串时，它会被传递到 stripslashes。这会删除步骤 3 中添加的两个转义符，但由于其中一个反斜杠已被转义，stripslashes 认为它属于该反斜杠。
   • 这是我的字符串。太棒了

当您将这些字符串重新提交到数据库时，这个问题确实会变得失控，因为每次反斜杠的数量都会成倍增加。

替代解决方案

一种快速而简单的替代方案是在将字符串传递给 mysql_real_escape_string 之前简单地删除由 magic_quotes 添加的斜线。

$str = stripslashes($_POST['str']);
$str = mysql_real_escape_string($str);

Answer 2

将字符串添加到数据库时，我使用 mysql_real_escape_string() 对其进行转义，并将以下内容存储在数据库中：

下划线

不，不是。当你在sql查询中转义字符串时，它只是为了传输查询中的数据。数据库解析查询并将数据存储在数据库中，没有任何额外的斜杠。因此，当您从数据库检索数据时，您不应该不取消转义任何内容。这是一个常见的误解。

如果您发现输出中有多余的斜杠，则您可能打开了魔术引号。 关闭它们。

编辑：

mysql> create table foo (bar text) ;
Query OK, 0 rows affected (0.01 sec)

mysql> INSERT INTO foo (bar) VALUES ("<span style=\\\"text-decoration:underline;\\\">underline</span>");
Query OK, 1 row affected (0.00 sec)

mysql> SELECT * FROM foo;
+-------------------------------------------------------------+
| bar                                                         |
+-------------------------------------------------------------+
| <span style=\"text-decoration:underline;\">underline</span> | 
+-------------------------------------------------------------+
1 row in set (0.00 sec)

如您所见，查询比数据库中显示的数据多了一层转义，因此查询时它的结果如何。在您的情况下，可能发生的情况是，您打开了魔术引号，然后在将字符串嵌入查询之前对它们进行转义。这会导致双重转义，从而篡改您的数据。正确的解决方案是像您一样继续转义字符串，但关闭魔术引号。并且不要对来自数据库的数据执行任何操作。请注意，需要先清理系统中已有的数据。

Answer 3

如果 get_magic_quotes_gpc() 在 SERVER 中关闭，因此只有

$data= mysql_real_escape_string($_POST['data']);

当 get_magic_quotes_gpc() 在 SERVER 中打开时我们才能使用，否则我们必须

$data= mysql_real_escape_string(stripslashes($_POST['data']));

在数据中添加两个反斜杠。

另一种解决方案是，如果我们仅使用 mysql_real_escape_string($_POST['data']);，则我们可以在从 datadase 获取时使用 stripslashes($data)