mysql_real_escape_string() 不清理变量

Question

我正在开发一个现有网站，试图防止 SQL 注入。在 $_GET['ID'] 未清理之前。

$ID=mysql_real_escape_string($_GET['ID']);
$sQuery=mysql_query("select * from tbl_mini_website as s1, tbl_actor_merchant as me where s1.MERCHANT_ID=$ID AND s1.MERCHANT_ID=me.MERCHANT_ID");

如果我在 url 末尾加上 ' ，使用 mysql_real_escape_string() ，我会从 mysql_error() 得到：

您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在第 1 行 '\\' AND s1.MERCHANT_ID=me.MERCHANT_ID' 附近使用的正确语法

而不使用 mysql_real_escape_string() 我得到：

您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在第 1 行 '\' AND s1.MERCHANT_ID=me.MERCHANT_ID' 附近使用的正确语法

我不确定这是怎么回事？任何帮助将不胜感激。

Answer 1

如果它是一个 id，我假设是数字，为什么不将它转换为整数呢？

$ID = (int) $_GET['ID'];

我能给你的最好建议是查看 PDO 并使用绑定参数。

Answer 2

mysql_real_escape_string 转义，但不引用。

尝试：

$sQuery=mysql_query("select * from tbl_mini_website as s1, tbl_actor_merchant as me where s1.MERCHANT_ID='$ID' AND s1.MERCHANT_ID=me.MERCHANT_ID");

更一般地，我倾向于将这两者包装在一个函数中，例如：

function quoteValue($value) {
    return "'" . mysql_real_escape_string($value) . "'";
}

这很有用，因为您可能会发现您想要更精致的引用行为（特别是在处理 Unicode、控制字符等时）。 ）

Answer 3

这是因为您没有引用该变量。

这是给定以下输入的查询

$_GET['ID'] = "1";
$ID=mysql_real_escape_string($_GET['ID']);
SELECT ... where s1.MERCHANT_ID=1 ...

$_GET['ID'] = "1'"
$ID=mysql_real_escape_string($_GET['ID']);
SELECT ... where s1.MERCHANT_ID=1\' ...

$_GET['ID'] = "1'"
SELECT ... where s1.MERCHANT_ID=1' ...

Answer 4

Phil Brown 是对的，但是你应该忘记老式的 mysql_real_escape_string 或 mysql_connect() 因为它们已经很老了，并转移到 php 的 PDO() ，你可以在其中使用准备好的语句、绑定、获取任何对象还有更多的功能。

我建议阅读 PDO 文档 http://php.net/manual/en/book.pdo .php 如果您想要下一代数据库操作和 SQL 注入的安全性。