使用“使用PHP安全方式将数据输入到mysql”插入数据时出现的问题

Question

我正在尝试使用表单将数据输入MySQL，并且还使用mysql_real_escape_string来实现此目的。不幸的是我的输出有问题。它显示 \s，或者如果我使用 stripslashes 那么它会删除所有斜杠。

如果我使用反斜杠 \ 提交 web 表单，我会得到以下输出：

"web\'s forms using backslash \\"

See I got a double backslash.但是，如果我使用 stripslashes 函数，那么它会删除所有斜杠，但也会删除输入的斜杠，并且输出为

"web's forms using backslash"

Here，不显示反斜杠，但末尾应该有一个反斜杠。

问题是，如果有人在密码字段和任何其他字段中使用反斜杠，那么反斜杠将被删除或显示两次。还请告诉我什么是显示输出 htmlentities 或 htmlspecialchars 的最佳选择

Answer 1

您已启用魔术引号。您需要完全禁用它们，因为它们在安全性方面不好。

从 php.ini 将它们设置为 off（首选）：

; Magic quotes
;

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase = Off

或者您可以在运行时禁用它们：

if (get_magic_quotes_gpc())
{
    $process = array(&$_GET, &$_POST, &$_COOKIE, &$_REQUEST);
    while (list($key, $val) = each($process))
    {
        foreach ($val as $k => $v)
        {
            unset($process[$key][$k]);
            if (is_array($v))
            {
                $process[$key][stripslashes($k)] = $v;
                $process[] = &$process[$key][stripslashes($k)];
            }
            else
            {
                $process[$key][stripslashes($k)] = stripslashes($v);
            }
        }
    }
    unset($process);
}

Answer 2

使用 mysqli 库和准备好的语句。然后所有字符都作为数据输入，您不需要弄乱所有这些东西。

哪些字符不会使用 mysqli 准备好的语句进行转义？< /a>

为什么使用 mysql 准备好的语句比使用常见的转义函数更安全吗？

Answer 3

向mysql输入数据的安全方法

使用“安全”插入数据时出现问题
使用PHP向mysql输入数据的方法”

您应该使用 PDO（新改进的方法）预准备语句，它比前辈（mysql_real_escape_string 等）更安全、更快。 为什么你应该这样做使用 PHP 的 PDO 进行数据库访问 更深入的细节。

显示输出

问题是如果有人使用
密码字段中的反斜杠和任何
其他归档，那么反斜杠将
被剥离或显示两次。并且
还请告诉我什么最适合
显示输出 htmlentities 或
htmlspecialchars。

新的改进方法是使用过滤器。我特别建议您阅读 PHP 创建者 Rasmus Ledorf 的所有这些性能和安全性幻灯片。 http://talks.php.net/ 有很多不错的幻灯片，您应该看看在。