如何在addslashes()之后在mysql数据库中插入斜杠

Question

<?php
$link = mysql_connect('localhost', 'root', 'root')
    OR die(mysql_error());
mysql_select_db('autos') or die('no db');
$bookName = "O'relly";
$user = addslashes($bookName);

$query = "INSERT INTO makes VALUES(null, '{$user}')";
mysql_query($query) OR die(mysql_error());

var_dump($user);

?>

变量转储输出是字符串 'O\'relly' （长度=8） 但在数据库中存储为'O'relly

看起来像Mysql在插入数据库之前删除斜杠。这是真的吗？

Answer 1

SQL 不会去除反斜杠，它会在解析命令时（正确地）解释它。如果没有斜杠，SQL 将看到

INSERT INTO makes VALUES(null, 'O'relly')

哪个是字符串“O”，后跟语法错误。 （或者更糟糕的是：这可以被利用来进行可怕的“sql注入攻击”）。

简而言之，这正在按预期进行。