mysql_real_escape 多次

Question

我只是想知道如果我多次 mysql_real_escape 数据是否会有所不同？

因此，如果我在网站的一部分中转义数据，然后在代码的另一部分中再次转义。这会是一个问题吗？或者有所作为？

Answer 1

mysql_real_escape 的正确位置是就在您发送查询以保存数据之前。
脚本中其他任何地方的所有其他实例都是主要的设计缺陷。

当然，最好应该在自己的数据库类中。

Answer 2

是的。你会得到额外不必要的反斜杠。

Answer 3

是的，这会是一个问题。

例如：
如果a是“Joe's House”，则第一次调用将产生“Joe's House”，第二次调用将产生“Joe\\\'s House”，并将反斜杠保存在数据库中。

这类似于当 Web 服务器启用了魔术引号并且您在客户端输入上使用 mysql_real_escape_string 时出现的问题。这是通过以下方法解决的：（

if (! get_magic_quotes_gpc()) {
    $value = mysql_real_escape_string($_GET["value"]);
} else {
    $value = mysql_real_escape_string(stripslashes($_GET["value"])); 
}

对于后一个示例，请参阅 http://www.php.net/get_magic_quotes_gpc ）

[我编辑了答案以反映下面评论中的更正]

Answer 4

是的，这将是一个过度擒纵的问题。这对于任何转义都是一样的，无论它到底做了什么。例如，如果您要按照通用规则转义字符串中的双引号：

bla "foo"

在一个转义变为之后，

bla \"foo\"

在两个转义变为之后，

bla \\\"foo\\\"

依此类推。 “擒纵机构”的数量必须与“擒纵机构”的数量完全匹配。您可能会在某些网站上看到此问题的表现，这些网站过度转义了文本字段中的某些字符，因此简单的撇号在输出时变成了 \' 。

Answer 5

无法区分转义字符串和未转义字符串，因为看起来像转义字符串的东西是预期的未转义字符串。因此，再次尝试转义就会转义 - 并且转义一次的文本将是 MySQL 读取的内容。

因此，你绝不能多次逃跑。

但是，更好的解决方案是使用参数化查询，因为这样您就根本不需要转义。

Answer 6

当然，数据会被双重转义。

您根本不应该使用 mysql_real_escape() ，通过 进行参数化查询mysqli 已经存在足够长的时间了。

Answer 7

是的，这会有所不同：

$string = "I'm Chuck!";
mysql_escape_string($string); // I\'m Chuck!
mysql_escape_string(mysql_escape_string($string)); // "I\\\'m Chuck!