Question

在我的MySQL表中，我有一个TEXT类型的列。在我的HTML表单上，用户将文本粘贴到其中可能包含“”，“（）等等。如果文本中存在这些字符并且可能导致查询执行崩溃，我想知道如何安全地执行Insert Query。

如何在PHP中正确处理它们？

Answer 1

如果您没有使用预准备语句（使用PDO或MySqli），则应通过MySql_Real_Escape_String()函数传递用户输入。如果您使用的是MySqli（但未准备好的语句），请MySqli_Real_Escape_String()。

但是，我会建议您使用prepared statements，因为您的生活会更轻松，并且您可以免费获得SQL注入保护。

Answer 2

准备好的陈述可以帮助增加通过分离SQL逻辑来实现安全性提供的数据。这个逻辑和数据的分离可以提供帮助防止一种非常常见的类型漏洞称为SQL注入攻击。通常在你交易时使用即席查询，您需要处理数据时非常小心您从用户收到的。这个需要使用逃避的函数所有必要的麻烦字符，例如单引号，双引号和反斜杠字符。这是不必要的处理准备好的陈述。该分离数据允许MySQL 自动考虑这些字符，他们不需要使用任何特殊功能逃脱。

一个简单的例子，

$db = new mysqli('localhost', 'username', 'password', 'db');
$stmt = $db->prepare("INSERT INTO mytable (text_column) VALUES (?)");
$stmt->bind_param("s", $mytext); // s = string, b = boolean, i = int, etc
$stmt->execute();
...

处理SQL字符串中的引号和命令

2 个答案: