如何在 PHP 中使用 mysql_real_escape_string 函数

Question

因此，在我编写的这个程序中，我实际上使用表单从用户那里获取 SQL 查询。然后我继续在我的数据库上运行该查询。

我知道不要“信任”用户输入，所以我想对输入进行清理。我正在尝试使用 mysql_real_escape_string ，但未能成功使其正常工作。

根据输入，这是我正在尝试的： select * from Actor;

//"query" is the input string: 
$clean_string = mysql_real_escape_string($query, $db_connection); 
$rs = mysql_query($clean_string, $db_connection); 
if (!$rs) 
{ 
    echo "Invalid input!"; 
} 

这总是给我

“输入无效！”

错误。

当我取出 clean_string 部分并在查询上运行 mysql_query 时，

“无效 输入“

消息不会输出。相反，当我这样做时：

$rs = mysql_query($query, $db_connection); 
if (!$rs) 
{ 
   echo "Invalid input!"; 
} 

它不会输出

“输入无效”。

但是，我需要使用 mysql_real_escape_string 函数。我做错了什么？

更新：

给定 select * from Actor; 作为输入，我发现了以下内容。

使用 echo 语句我已经 发现在清理之前，字符串保存的值是： 从演员中选择*； 这是正确的。然而，消毒后，它持有不正确的 select *\r\nfrom Actor; 的值，因此出现错误消息。为什么是 mysql_real_escape_string 这样做吗？

Answer 1

将其用于查询中的实际值，而不是整个查询字符串本身。

例子：

$username = mysql_real_escape_string($_POST['username']);
$query = "update table set username='$username' ...";
$rs = mysql_query($query);

Answer 2

不要使用过时的 mysql 扩展，而是切换到 PDO。 准备好的语句参数不容易受到注入，因为它们将值与语句分开。准备好的语句和 PDO 还有其他优点，包括性能、易用性和附加功能。如果您需要教程，请尝试“使用 PHP 和 PDO 编写 MySQL 脚本”。

Answer 3

mysql_real_escape_string() 是字符串转义函数。它不会使任何输入安全，只是字符串值，不能与 LIKE 子句一起使用，并且整数仍然需要以不同的方式处理。

一个更简单、更通用的示例可能是：

 $post = array_map("mysql_real_escape_string", $_POST);
 // cleans all input variables at once

 mysql_query("SELECT * FROM tbl WHERE id='$post[id]' 
                OR name='$post[name]' OR mtime<'$post[mtime]' ");
 // uses escaped $post rather than the raw $_POST variables

请注意，对于 SQL 字符串，每个变量仍必须用 ' 单引号括起来。 （否则转义就没有意义了。）

Answer 4

您应该使用 mysql_real_escape_string 转义查询的参数，而不是整个查询本身。

例如，假设您有从表单收到的两个变量。然后，您的代码将如下所示：

$Query = sprintf(
    'INSERT INTO SomeTable VALUES("%s", "%s")', 
    mysql_real_escape_string($_POST['a'], $DBConnection),
    mysql_real_escape_string($_POST['b'], $DBConnection)
);

$Result = mysql_query($Query, $DBConnection);

Answer 5

手册 mysql_real_escape_string()

转义字符串中的特殊字符
用于 SQL 语句

因此您无法转义整个查询，只能转义数据...因为它将转义所有不安全字符，例如引号（查询的有效部分）。

如果您尝试类似的操作（以转义整个查询）

echo mysql_real_escape_string("INSERT INTO some_table VALUES ('xyz', 'abc', '123');");

输出是

INSERT INTO some_table VALUES (\'xyz\',
\'abc\'、\'123\');

并且该查询不再有效。

Answer 6

这对我有用。德狼 (wtec.co)

<?php
// add data to db
require_once('../admin/connect.php');

$mysqli = new mysqli($servername, $username, $password, $dbname);

/* check connection */
if (mysqli_connect_errno()) {
    printf("Connect failed: %s\n", mysqli_connect_error());
    exit();
}

$post = $mysqli->real_escape_string($_POST['name']);
$title = $mysqli->real_escape_string($_POST['message']);


/* this query with escaped $post,$title will work */
if ($mysqli->query("INSERT into press (title, post) VALUES ('$post', '$title')")) {
    printf("%d Row inserted.\n", $mysqli->affected_rows);
}

$mysqli->close();


//header("location:../admin"); 
?>