当 URL 末尾有撇号时，为什么会出现 SQL 错误？

Question

为什么在 URL 末尾添加 ' 时会出现错误？例如：http://mywebsite.com/singel?id=24'

我收到以下错误：

您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，了解在第 1 行的 '\' LIMIT 1' 附近使用的正确语法

如果我将 ' 放置在查询字符串。

出了什么问题，如何修复？ 谢谢。

Answer 1

您正在 SQL 查询中插入非转义变量。如果这个变量恰好包含 SQL 特殊字符，则可能会导致 SQL 语法错误或更糟糕的情况。

在将变量插入 SQL 查询之前，您需要转义它们。

示例：

$query = "SELECT * FROM users WHERE id = " . mysql_real_escape_string($id);

而不是（这是错误的，不要这样做）：

$query = "SELECT * FROM users WHERE id = $id LIMIT 1";

如果 $id 是 24'，查询将变为

$query = "SELECT * FROM users WHERE id = 24' LIMIT 1";

：可以看到，24后面多了一个'，这是语法错误。

Answer 2

如果 ' 终止了您的查询，则很明显您存在 SQL 注入漏洞。阅读 mysql_real_escape_string()、bobby-tables，并考虑切换到 PDO 准备好的语句。

Answer 3

看这里

http://www.codeproject.com/KB/database/SqlInjectionAttacks.aspx

你应该了解一些有关 SQL 注入的知识。您的脚本现在可以注入了

Answer 4

此错误通常意味着您对 sql 注入持开放态度。这个函数比 mysql_real_escape_string() 稍微复杂一点，因为它还做了 PHP 配置测试，以确保您不会两次转义数据并添加各种 PHP 版本支持！ （根据 PHP 手册 1）
只需在每个提交的项目上运行这个漂亮的小函数，用于插入、更新或 where 语句：

function sql_injection($value){
    $value = trim($value);
    if(get_magic_quotes_gpc())
        $value = stripslashes($value);
    if(function_exists("mysql_real_escape_string")){
        $value = mysql_real_escape_string($value);
    }else
        $value = addslashes($value);
    return $value;
}

例如：

$q = 'SELECT `blah` FROM `users` WHERE `id`='.sql_injection($_POST['id']);

• 此函数不会取代服务器端验证，并且在使用它之前应该验证所有内容，始终假设最坏的情况:)