魔术引号和 mysql_real_escape_string

Question

这是原始代码：

       if (($handle = fopen($source_file, "r")) !== FALSE) {
    $columns = fgetcsv($handle, $max_line_length, ",");
    foreach ($columns as &$column) {
        $column = str_replace(".","",$column);
    }
    while (($data = fgetcsv($handle, $max_line_length, ",")) !== FALSE) {
        while(count($data) < count($columns)) {
            array_push($data, NULL);
        }
        $c = count($data);
        for($i = 0; $i < $c; $i++) {
            $data[$i] = "'{$data[$i]}'";
        }

        $sql[] = '(' . implode(',', $data) . ", '" . $_POST['custgroup'] . "'," . $_POST['user_id'] . ')';
    }


$query = "INSERT INTO $target_table (" . implode(',', $columns) . 
      ',custgroup,user_id) VALUES ' . implode(',', $sql);


    //mysql_query($query) or trigger_error(mysql_error());
    echo $query;
    fclose($handle);
}

但是一旦我添加了 mysql_real_escape_string：

   $query = "INSERT INTO $target_table (" . implode(',',array_map('mysql_real_escape_string', $columns)) . 
          ',custgroup,user_id) VALUES ' . implode(',',array_map('mysql_real_escape_string', $sql));

查询将变成：

INSERT INTO UserAddedRecord (lastname,firstname,ceLL,fax,email,code,custgroup,user_id) VALUES (\'Last\',\'首先\',\'01122331\',\'\',\'[电子邮件受保护]\',\'12345\', \'\', 17)

我检查了我的 php.ini 并get_magic_quotes_gpc(),魔术报价被禁用。

magic_quotes_gpc = 关

magic_quotes_runtime = 关

magic_quotes_sybase = 关

应该是什么问题？或者我应该只应用 stripslashes()？但我假设只有在启用魔术引用时才会使用它。

Answer 1

您应该遵循以下原则：

• 所有字符串值使用 mysql_real_escape_string
• 将所有 interters 转换为 (int)
• after 应用周围的单引号 ( ' )

对 mysql_real_escape_string 是转义测试内容中的特殊字符，因此使用 stripslashes 会将其删除。

解决这个问题的另一种方法是查看 preparedStatements您不需要向客户端转义。

请记住，这样做的全部目的是为了防止SQL注入并且采取相应的行动:)