mysql_real_escape_string &斜线

Question

首先是魔术引言和运行时在 php.ini 中正确禁用，并由 phpinfo() 确认。

PHP version: 5.3.4
MySQL version: 5.1.52

我只在数据上使用 mysql_real_escape_string ，在 htmlspecialchars 和修剪之后，这就是变量上的所有数据清理。

然而，当我提交单引号时，斜线仍保留在数据库中。

运行 mysql_query 时，我使用 "' . $var . '"，尽管在​​过去这没有改变任何东西（可能是由于双引号？） 。

有什么想法吗？请不要告诉我有关 PDO/准备好的声明，我知道它们，并且我有这样做的理由。

谢谢！

代码示例（这是对数据所做的唯一操作）：

mysql_real_escape_string( htmlspecialchars( trim( $data ) ) );

Answer 1

我只在数据上使用mysql_real_escape_string，在htmlspecialchars和修剪之后，这就是变量上的所有数据清理。

否。仅使用mysql_real_escape_string在数据库中存储数据。存储数据时不要损坏数据。

函数 htmlspecialchars 用于将字符串编码为 HTML（< 变为 < 等），它只能用于这个目的。

Answer 2

也许这个被严重误导、无益且具有破坏性的选项

magic_quotes_gpc

已经启用？

您可以在 phpinfo() 的输出中检查这一点，但如果服务器管理员已全局启用它而无法覆盖，则您无能为力。

我建议检查它是否打开（当然在应用程序的每个页面上），如果是，则导致应用程序快速而痛苦地死亡，以确保避免数据损坏（这主要表现为您所描述的反斜杠的扩散）。

然后带着你选择的钝器去服务器管理员的房子。

希望你能在你的数据库被大量邪恶的自增反斜杠淹没之前完成这一切。

Answer 3

您的存储过程是正确的。 （尽管可能不需要 htmlspecialchars 和/或修剪 - 但我不知道您的应用程序）

从您提供的信息来看，没有理由看出您的问题。

下一个调试方法将记住您的系统上可能更改或已经更改的任何其他内容（也许您正在使用某些第 3 方安装映像？）。

如果失败了，那就只能胡乱猜测可能的原因，为此我将提供第一个原因：

mysql 可能在 NO_BACKSLASH_ESCAPES - 模式，这会导致反斜杠被视为常规字符。

此外，看起来您正在将字符串括在双引号中，然后将单引号（通常会被转义）直接插入到数据库中，前面带有反斜杠。

也很可能 - 当你在 sql 语句中用双引号包裹你的字符串时，这不是它应该的样子，我很困惑你没有得到语法违规错误，你最终会得到一些像这样的查询"john\'s house" 这是由从 mysql_real_escape 转义的单引号引起的，如果您的查询正确地用单引号括起来，那么这将是正确的。

这引出了我的问题。尝试插入双引号时是否出现语法错误（或注入的查询）？

至于你的评论。您可以很好地使用 pdo 准备语句，然后从中获取查询字符串，并使用 mysql 函数执行它们。但我意识到这并不能解决你的问题。

还请尝试将整个查询仅放入一个变量中，并在执行之前直接打印出来。然后看一下它并按照任何错误的操作返回操作来生成字符串。

Answer 4

如果在转义数据后在 SQL 命令中使用双引号：

 SELECT "1\'2"

那么它将存储并返回值作为 1\'2 ，反斜杠仍然完好无损。

SQL 字符串的正确语法是使用单引号。这就是mysql_real_escape_string 转义的目的。否则它必须转义双引号，但它完全不知道双引号的用法。

在 PHP 中使用双引号。 SQL 使用单引号。像这样重写你的代码：

 $x = escapy($x);
 $y = escapy($y);
 sql_query("INSERT INTO tbl (x,y) VALUES ('$x', '$y')");