何时使用 mysql_real_escape_string()

Question

什么时候是使用 mysql_real_escape_string 的正确时间？

当我使用 isset(mysql_escape_string($_GET['param'])) 时是否应该使用它，

当我使用 $foo = mysql_real_escape_string($_GET['bar']); 时是否应该使用它？

谢谢

Answer 1

当使用字符串文字构建 SQL 查询时，您需要调用此函数。
您不应该在其他地方调用它。

调用此函数的目的是防止您执行像 SELECT * FROM Students WHERE Name = 'Robert'); 这样的 SQL删除表格学生；--'.
mysql_real_escape_string 将对 ' 字符进行转义，以便将恶意字符串完全视为字符串。

Answer 2

每当您不信任在 mysql 查询中插入的数据时，就应该使用它来防止 sql 注入。例如所有用户表单数据。
在你的第一个例子中：不。
第二个示例：是的，如果您要在查询中使用 $foo 变量。

Answer 3

每当您将数据插入数据库查询（POST/GET 数据）时都应该使用它，但如果您只需要检查数据则不应使用它。

Answer 4

每当您想要在查询中使用来自用户的输入时，您就可以使用 mysql_real_escape_string。

使用方法如下：

$user = mysql_real_escape_string('$_GET['user']);
$password = MD5($user.$_GET['password']);
$query = "SELECT * FROM users WHERE user = '$user' AND password = '$password' ";
//the quotes are vital  !!                 ^     ^  or you will not be safe!

这是不起作用的示例代码：

损坏的代码

$user = mysql_real_escape_string('$_GET['user']);
$password = MD5($user.$_GET['password']);
$query = "SELECT * FROM users WHERE user = $user AND password = '$password' ";

在示例中，我可以通过输入任何密码来登录您的系统，并且
用户或 (1=1) --。这将使查询读取：

SELECT * FROM users WHERE user = user or (1=1) --  AND password = '$password

并将批准所有登录，因为密码永远不会被检查。

使用 mysql_query 时，一次只能执行一条 SQL 语句，因此：

$query = "SELECT * FROM a; DELETE FROM a WHERE (1=1)"
mysql_query($query);

将导致错误，因为不能是 ; 之后的部分。

然而，此代码将起作用：

危险

$query = "SELECT * FROM a; DELETE FROM a WHERE (1=1)"
mysqli_query($query);

因为改进 mysqli_query 确实允许一次性执行两个或多个语句。