我应该一一转义输入参数还是转义整个sql查询？

Question

我经常一一转义输入，我想知道两种方法之间的区别。哪一种是更常见的做法？我首先尝试转义“需要转义”的字段，然后我最终为每个值编写了很长的转义代码。一次转义整个sql语句有什么缺点？

Answer 1

它不起作用，因为在查询中您使用诸如 ' 单引号之类的内容来指示值，并且您不希望这些值被转义，但您确实希望转义可能包含单引号的值。

Answer 2

有点题外话，但我觉得这很重要。

这不是你第一次就此事提出问题。而且看来你还是没明白重点。

你确定mysql不接受转义的sql字符串吗？

抱歉，这个问题似乎是您的主要问题。
你不是寻求理解，不是寻求解释，而是只是要求某种积极的答案。

这个问题的结果应该是您根据您对此事的理解给自己的答案。
只有在这种情况下，它才会对你有好处。
否则你将再次陷入下一步。

请尝试理解转义字符串的含义。
对于任何具有非常基本的 SQL 知识的人来说，您的问题绝对没有意义。
当然，这样的整个查询转义永远不会起作用。只是因为 SQL 查询的性质。
您迫切需要理解这种性质。
请你读一些书。
请寻求解释，而不是寻求某种保证。

Answer 3

使用准备好的语句并使用绑定参数。其他任何事情都是等待发生的黑客事件

Answer 4

一一转义每个输入。如果您对整个 SQL 查询执行此操作，则无法确定 SQL 语句在转义后仍然有效。假设

aaa

输入

a", "a

用户将在生成的 SQL 中

("a", "a") 

so，您将收到而不是

("aaa")

我认为在这种情况下转义整个 SQL 语句将不起作用。

Answer 5

我猜想使用 mysql_real_escape_string 转义 sql 字符串更有利。参考时间和记忆。如果需要，可以在每个输入级别进行一些验证。

Answer 6

您担心转义每个 var 的长代码，但由于某种原因您忘记了函数的用途。

function escape_me($value) {
     $value = strip_tags($value);
     $value = mysql_real_escape_string($value);
     .........
}

$var1 = escape_me($_POST['var1']);

希望这能为您指明正确的方向。