php中的mysql_escape_string

Question

真的只是一个快速查询，在我的PHP文件中，我有来自HTML表单的变量，如下所示：

$companyName = mysql_escape_string($_POST['compName']);
$AddLine1 = mysql_escape_string($_POST['add']);
$AddLine2 = mysql_escape_string($_POST['add1']);            
$AddLine3 = mysql_escape_string($_POST['add2']);

在整个脚本中，我用mysql做了一些select，insert语句。我想知道的是，如果像上面那样只使用mysql_escape_string就可以，或者每次使用变量时都需要这样做吗？

可能是一个非常简单（或愚蠢）的问题，但我说我还是会问。

Answer 1

一旦足够，$AddLine1-3现在拥有“安全”值

Answer 2

是的，只做一次就足够了。另外，如果$_POST['val']应该是整数，那么您可以执行(int) $_POST['val']并且它也将完全安全。

Answer 3

您可能想查看PHP.NET。他们说：

mysql_escape_string

已被弃用，应替换为：

mysql_real_escape_string()

参考：

http://php.net/manual/en/function.mysql-escape-string.php

Answer 4

您使用标准的PHP函数，因此只有在需要使用数据库查询时才能使用mysql_escape_string。