解码 mysql_real_escape_string() 以输出 HTML

Question

我试图保护自己免受sql注入并正在使用：

mysql_real_escape_string($string);

发布HTML时，它看起来像这样：

<span class="\&quot;className\&quot;">
<p class="\&quot;pClass\&quot;" id="\&quot;pId\&quot;"></p>
</span>

我不确定real_escape_string添加了多少其他变体，所以不想只替换一些而错过其他变体...我如何将其“解码”回正确格式的 HTML，例如：

html_entity_decode(stripslashes($string));

Answer 1

mysql_real_escape_string() 不必解码，它仅用于 SQL，但转义字符永远不会存储在数据库中。当然，它不应该被用来净化 HTML。在输出网页数据之前没有理由使用它。此外，mysql_real_escape_string() 也不应用于要放入数据库的数据。您的清理过程应如下所示：

输入

1. 接受来自表单或 HTTP 请求的用户输入
2. 使用准备好的语句创建数据库查询

输出

1. 从数据库中提取数据
2. 运行任何用户 -在打印之前通过 htmlspecialchars() 定义数据

使用数据库驱动程序，例如 MySQLi 或 < a href="http://php.net/pdo" rel="nofollow noreferrer">PDO 将允许您使用准备好的语句，它会为您转义大多数输入。

Answer 2

你把一切都搞乱了。

mysql_real_escape_string 不需要任何解码！

如果您用斜杠取回数据，则意味着它已被转义两次。而不是删除额外的斜杠，你不应该首先添加它们。

更不用说任何转义都已过时，您应该

使用准备好的语句

而不是任何转义字符串。

所以，永远不要逃避，永远不要解码。
问题解决了。

Answer 3

mysql_real_escape_string 用于在将用户提供的数据存储到数据库时防止 SQL 注入，但更好的方法是使用 PDO （例如）。我总是建议使用它而不是乱转义。

话虽如此，关于您之后如何显示它的问题 - 存储数据后，当您检索它时，数据是完整且有效的，无需“转义”。除非您添加了自己的转义序列，否则请不要这样做。

Answer 4

使用以下函数在 HTML 页面上显示时删除斜杠：

stripslashes();

例如。
$html=stripslashes($html);
或者
$html=stripslashes($row["fieldname"]);

Answer 5

不知道我所看到的格式是怎么回事，但你的 html 表单

<span class="\"className\"">
<p class="\"pClass\"" id="\"pId\""></p>
</span>

应该很简单；

<span class="className">
<p class="pClass" id="pId"></p>
</span>

当您取回它时，在将其放入数据库之前，您可以使用 mysql_real_escape_string() 将其转义，以确保您不会遭受 sql 注入攻击。

因此，您正在转义准备好放置文本下一步的值。

当您将其从数据库中取出（或将其中的任何内容作为 html 显示给用户）时，您可以再次转义它，准备好使用 htmlentities() 等接下来要进入的位置（html），以保护您的用户免受 XSS 攻击。

这构成了咒语 FIEO（过滤输入，逃逸输出）的 EO 部分，您应该将其纹在眼睑内侧。

Answer 6

我想知道为什么这个例程没有附带的解码器例程。 MySQL 可能以与未转义完全相同的方式对其进行解释。当您执行 $row=mysql_fetch_array($res, MYSQL_ASSOC)'; 时，您会得到未转义的结果

Answer 7

好吧，我尝试了一种老式的方式，到目前为止我看不出我的方法有什么问题。显然这有点粗糙，但它完成了工作：

function mysql_unreal_escape_string($string) {
    $characters = array('x00', 'n', 'r', '\\', '\'', '"','x1a');
    $o_chars = array("\x00", "\n", "\r", "\\", "'", "\"", "\x1a");
    for ($i = 0; $i < strlen($string); $i++) {
        if (substr($string, $i, 1) == '\\') {
            foreach ($characters as $index => $char) {
                if ($i <= strlen($string) - strlen($char) && substr($string, $i + 1, strlen($char)) == $char) {
                    $string = substr_replace($string, $o_chars[$index], $i, strlen($char) + 1);
                    break;
                }
            }
        }
    }
    return $string;
}

这应该涵盖大多数情况。

Answer 8

即使这是一个老问题......
我和彼得·克雷格也遇到过同样的问题。
事实上，我必须处理旧的 CMS。为了防止 SQL 注入，所有 $_POST 和 $_GET 值都是“sql-escaped”。不幸的是，这是在一个中心点完成的，因此所有模块都会接收所有 sql 转义的数据！在某些情况下，您想直接显示这些数据，因此您面临一个问题：如何显示 sql 转义字符串而不从数据库获取它？
答案是：
使用stripcslashes（不是stripcslashes！！）

http://php.net/manual/en/ function.stripcslashes.php

Answer 9

我认为许多其他答案错过了明显的问题...

您在输入的内容上使用 mysql_real_escape_string （如果不使用准备好的语句，您应该这样做）。

你的问题出在输出上。

当前的问题是您正在调用 html_entity_decode。只需要删除斜杠即可恢复原始文本。 html_entity_decode 是什么搞乱了你的报价等，因为它正在改变它们。您实际上想要输出 html，而不仅仅是纯文本（此时您将使用 html_entities 等）。你正在解码你想要编码的东西。

如果您只想显示文本版本，则可以使用实体。如果您担心坏标签，请使用 striptags 并仅允许您想要的标签（例如 b、i 等）。

最后，记住以正确的顺序进行编码和解码。如果您运行 mysql_real_escape_String(htmlentities($str))，那么您需要运行 html_entity_decode(stripslashes($str))。操作顺序很重要。

更新：我没有意识到 html_entity_decode 也会删除斜杠。该页面上没有清楚地记录它，我只是从未发现它。不过，我仍然会自动运行它，因为我呈现的大多数 html 希望保留为实体，即使我不这样做，我也更喜欢在我的 db 类之外根据具体情况做出决定。这样，我就知道斜线消失了。

看起来原始发布者正在运行 htmlentities（或者他的输入程序，就像tinymce 正在为他做的那样），并且他想将其转回内容。因此，html_entity_decode($Str) 应该是所需要的。