既然 $_POST 会自动在引号前添加斜杠，为什么还要麻烦使用 mysql_real_escape_string() 呢？

Question

在 PHP 中，$_POST 自动在引号前添加斜杠，那么为什么还要应用 mysql_real_escape_string() 呢？例如，当我在输入字段中输入 'rrr 时，当我回显它时，我会得到 \'rrr 。

Answer 1

因为只有在 php 配置中启用 MacigQuotes 时才会发生这种情况，据我所知，这种情况现在相当不常见。此外，mysql_real_escape_string 还转义其他 MySQL 相关字符。

查看 http://php.net/manual/en/security.magicquotes.php< /a> 有关魔术引号的更多信息。

正如您所看到的，该指令已经有一个弃用警告，因此您应该检查您的服务器配置^^

编辑：要禁用魔术引号，请在您的 xampp 文件夹中搜索 php.ini，然后添加或更改（如果存在） ，以下指令：

; Magic quotes
;

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase = Off

Answer 2

1. mysql_real_escape_string 转义的不仅仅是单引号，因为还有其他可能导致注入问题的字符。
2. 如果启用了 magic_quotes，PHP 只会在 POSTed 输入中添加斜杠，这被认为是不好的做法（因为它会导致懒惰并且不使用 real_escape_string 之类的东西！）

Answer 3

魔术引号 自 PHP 5.3.0 起已弃用，并已过时PHP 6.0 的。

编辑：所以不能依赖自动斜杠，因为它们已被大多数 PHP 安装弃用，并且很快将根本不起作用。