使用 utf-8 字符转义 shell/数据库

Question

转义字符的首选顺序是什么？

例如在 PHP 环境中：

1) shell ->数据库 = 返回 escapeshellcmd(mysqli_real_escape_string($string));?

2）数据库-> shell = 返回 mysqli_real_escape_string(escapeshellcmd($string));？

3）完全没有区别吗？

更新

只是为了澄清一下，我目前正在尝试修复的网站包含许多旧的、已弃用的功能，使用 magic_quotes，并且在从旧主机转移到出现问题的当前主机后基本上无法使用。

第一个问题是 MySQL 转义，我用 mysql_real_escape_string(); 修复了这个问题，但是，CLI/Socket MySQL 连接环境的问题仍然存在。也就是说，当您在 textarea 内有一个引用 UNIX 命令的值（前面带有 / - 正斜杠符号）并将其发布时 - Apache 将导致 501 方法未实施。

所以是的，我必须转义 mysql 和转义 shell 命令。但是，shell 命令转义（以原始问题中的第 1 号示例）导致 UTF-8 字符制动并丢失大量所需的 HTML 符号。

需要转义的内容来自 WYSIWYG 编辑器 (SPAW)，因此它包含大量引号，并且时不时包含一个 UNIX 命令，类似于我们的国家 - 拉脱维亚 - 货币。 “/ls”，其中 LS 是货币。

该网站是由客户自己更新的，而不是由技术人员更新的，而且必须保持这种状态——我的意思是，我们不能接管内容编辑。另外，虽然我们可以告诉他们不要使用 /ls，但 UNIX 问题仍然存在，例如，如果他们意外地访问了 /mkdir 可能类似于某物标识符的内容。

他们是一家活跃的旅游公司，因此需要尽快解决这个问题。由于我们接管了他们的网站，他们知道系统已损坏，但他们目前没有闲钱来花在新网站/修复当前网站上。我们得出的结论是修复它会更困难，因此比转移到我们的 CMS 更昂贵，但钱仍然是钱。

那么，如何从这个所见即所得编辑器的文本区域（这是一个字符串）转义 shell 和数据库命令，同时保留拉脱维亚字母的 UTF-8 编码 - ā、š、č、ž< /code> 等？

也许我不必同时逃避两者，这就是我问的原因。

提前致谢！

根据 Shrapnels 的请求更新

，一个示例字符串（从 SPAW 的 HTML 视图复制）将导致 Apache 响应 501：

<div>
    <span style="color: rgb(0, 0, 128); " class="Apple-style-span">
        <span style="font-size: 12px; " class="Apple-style-span">
            /ls
        </span>
    </span>
</div>

SPAW 自动添加所有这些哑元素，是的，如果 / 是在字符串内，501！

这就是停止所需的全部内容，只是一个引用 UNIX 命令行函数的命名空间。就像本例中的 /ls 一样，但也可以是 /rmdir、/mkdir 等。您可以在没有 的情况下拥有 20000 个符号内容。 /ls 就可以了。一旦出现这样的事情——嘭，死了！

最初有一个函数旨在清除所有错误（至少我是这样认为的，它的原始名称是 - removeShit();）：

$string = $_POST['wysiwyg_textarea']; // SPAW text area

function removeStuff($string){
    return str_replace('/wysiwyg/empty.html', '', $txt);
}

文件 /wysiwyg/empty.html< /code> 是 0 字节 - 完全空的文件。

但这并不能解决 mysql 转义和/或 UNIX shell 命令识别问题。因此，我需要修复来逃避 UNIX 命令和任何 MySQL 有害的东西。

所以，我试图这样做：

return escapeshellcmd(mysqli_real_escape_string($string));

但这一个删除了所有 utf-8 字符，另外，所有新行符号都转换为简单的字符串“rn”，我猜 \r\n。

现在我正在寻找一个函数来逃避 MySQL 和 Shell cmd，因为我想不出另一种方法来解决所有这些混乱。

Answer 1

两者都不。

使用 escapeshellcmd() 或 mysqli_real_escape_string()，具体取决于您计划对 $string 执行的操作。

切勿同时使用两者。这没有意义。