在str_replace（）之后添加mysql_real_escape_string（）

Question

如何在mysql_real_escape_string()之后添加str_replace()？

$s='+'.str_replace(' ',' +',rawurldecode($_GET['search']));

$sql = '
SELECT * from table 
where match 
(keywords) 
AGAINST 
('".mysql_real_escape_string($s)."' IN BOOLEAN MODE) 
order by date desc 
limit '.mysql_real_escape_string($_GET['number']).',10
';

这是在这样的mysql全文搜索中编写mysql_real_escape_string()的正确方法吗？感谢。

Answer 1

是的，它几乎是正确的方式（你的报价单错误），但你正在使用的功能被删除。使用mysqli。 您应该使用intval（），因为用户可以输入文本值并生成错误。

$sql = '
SELECT * from table 
where match 
(keywords) 
AGAINST 
("'.mysql_real_escape_string($s).'" IN BOOLEAN MODE) 
order by date desc 
limit '.intval($_GET['number']).',10
';