mysql_real_escape_string...其他地方还有自动设置吗？

Question

这里遇到了奇怪的情况。在我的本地 mysql 数据库（v5.1.41）上，如果我要毫无问题地处理用户的引用语法，则需要使用此转义命令。但是我无法在我的 Web 服务器的 mysql 数据库（v5.0.91-community）上使用此命令。如果在 Web 服务器（apache v2.2.13）上使用此命令，则会在用户的引号语法中添加额外的斜杠语法，因此，如果我删除 mysql_real_escape_string 命令，则带引号的输入插入到数据库中不会出现问题。

所以我想知道，除了php之外，apache（v2.2.13）或mysql本身是否有一个设置可以自动处理引号语法，例如PHP的mysql_real_escape_string命令？

先感谢您

Answer 1

这可能是由于 Magic Quotes 造成的。 禁用或删除它们，它们是一个善意但也令人讨厌的功能。

Answer 2

这意味着服务器上启用了 php 设置 magic_quotes_gpc。它已被弃用，并且有一种方法可以解决它 - 通过删除代码开头的斜杠：

<?php
if (get_magic_quotes_gpc()) {
    function magicQuotes_awStripslashes(&$value, $key) {$value = stripslashes($value);}
    $gpc = array(&$_GET, &$_POST, &$_COOKIE, &$_REQUEST);
    array_walk_recursive($gpc, 'magicQuotes_awStripslashes');
}

Answer 3

我建议您使用 filter_input 来获取用户数据不关心 magic_quotes 和参数化查询来完成数据库工作（请参阅 mysqli 或 PDO）。