Perl 的 DBI 是否有与 PHP 的 mysql_real_escape_string() 等效的函数？

Question

有人可以告诉我是否有一个与 PHP 的 功能相同的函数DBI 模块中的 Perl 的 mysql_real_escape_string() ？

Answer 1

您应该使用占位符和绑定值。

Answer 2

不。逃脱。 SQL。

不。引用。 SQL。

使用 SQL 占位符/参数 (?)。 SQL语句的结构和占位符表示的数据值完全分开发送到数据库，因此（除非数据库引擎或DBD模块中存在错误）绝对不可能将数据值解释为SQL命令。

my $name = "Robert'); DROP TABLE Students; --";
my $sth = $dbh->prepare('SELECT id, age FROM Students WHERE name = ?');
$sth->execute($name);  # Finds Little Bobby Tables without harming the db

作为一个附带的好处，如果您重复使用 SQL 语句（它只需要准备一次），使用占位符也会更有效，而如果您不重复使用占位符，效率也不会降低（如果您不显式调用准备，它仍然会得到在执行查询之前隐式调用）。

Answer 3

喜欢引用吗？

如果您担心的话，我还建议您阅读 DBD::MySQL 的文档utf8。

Answer 4

来自 http://www.stonehenge.com/merlyn/UnixReview/col58.html：

  use SQL::Abstract;
  ... 
  my $sqa = SQL::Abstract->new;
  my ($owner, $account_type) = @_; # from inputs
  my ($sql, @bind) = $sqa->select('account_data', # table
                                  [qw(account_id balance)], # fields
                                  {
                                    account_owner => $owner,
                                    account_type => $account_type
                                  }, # "where"
                                 );
  my $sth = $dbh->prepare_cached($sql); # reuse SQL if we can
  $sth->execute(@bind); # execute it for this query

Answer 5

数据库处理方法“quote”

my $dbh = DBI->connect( ... );
$sql = sprintf "SELECT foo FROM bar WHERE baz = %s",
          $dbh->quote("Don't");

http://metacpan.org/pod/DBI#quote