使用 preg_split("/,/", 时出现 SQL 语法错误

Question

我使用 preg_split 从推文消息 ID 中删除标签信息，这是 Twitter 的原始输出

标签：search.twitter.com，2005：7551711354822656

我应用 preg_split 来摆脱 'tag:search.twitter.com' 就像

  $arr = preg_split("/,/", "strip_tags(mysql_real_escape_string($status->id))");
  $msg_ID =  $arr[1];

&将 $msg_ID[1] 插入表中。现在我将相同的内容应用于 Twitter 输出的消息内容，

  #DIYse_D  DELIVERAB: twitter messages 1, 9th OCT 2010

我应用 preg_split 来从中删除“twitter messages 1”，例如

  $arr2 = preg_split("/,/", "strip_tags(mysql_real_escape_string($status->content))");
  $msg =  $arr[1];

&将 $msg[1] 插入表中，但会引发 sql 语法错误。好的，这里的一件事是，在 $ status->id 输出中，twitter 在 id 的开头添加了标签，而在这里它在原始消息内容中添加了“twitter messages 1”。
这是 SQL 插入查询

INSERT INTO msg2(id,msg,msg_id,depth,name) VALUES ('','$msg','$msg_ID','0','$name')

Answer 1

$arr = preg_split("/,/", "strip_tags(mysql_real_escape_string($status->id))");
                         ^--here                                           ^--here
$arr2 = preg_split("/,/", "strip_tags(mysql_real_escape_string($status->content))");
                           ^---here                                              ^---here

我指出的四个双引号将这些“代码”位转换为文字文本字符串。您不是在尝试拆分 strip_tags 函数调用的结果，而是在尝试拆分显示“strip_tags(etc...)”的字符串。删除双引号，这样 PHP 就会认为这是一个函数调用，而不是一个字符串。

由于该文字字符串中没有逗号，因此不会有任何 $arr2[1] 值，因此您尝试在数据库中插入空白（或 null）。

另外，将您的函数顺序更改为：

mysql_real_escape_string(strip_tags(etc...))

转义数据库插入应该是插入之前要做的最后一件事。 strip_tags 可能会更改转义的顺序并产生“错误”字符串，从而使您容易受到 SQL 注入攻击。