在数据库中存储带有撇号的值

Question

将可能包含撇号的用户输入插入数据库的行业标准是什么？这样的输入将在网页上显示给用户。例如，用户将某个字段更新为“我很酷”。我用这个函数将它插入到我的数据库中：

public function updateDatabase($value) {
   $value = mysql_real_escape_string($value);
   Database::instance()->query(
      'UPDATE myTable
       SET myColumn = ' . $value . '
       WHERE foo = "bar"'
   );
}

数据库现在将存储“我很酷”。为了正确、安全地将这个值显示给任何用户，我必须使用这个函数来清理它：

public function toSafeDisplay($userGeneratedValue) {
   return stripslashes(
      htmlentities(
         $userGeneratedValue
      )   
   );
}

我担心的是，对我想在网页上显示的所有内容执行 stripslashes 和 htmlentities 会占用大量处理器资源。 StackOverflow 上的普遍共识是在插入数据库之前不要做htmlentities，这样数据尽可能原始。这将允许它稍后显示在任何媒体中，而不仅仅是网站。所以我们不得不在显示时做htmlentities。 stripslashes 也是这样吗？或者是否可以在不引入 SQL 注入攻击的情况下在更新数据库之前删除撇号前的所有斜杠？

Answer 1

根本不是这样的。如果您在将其读回 php 时将撇号转义到插入/更新中，则它不会被转义。如果您希望从数据库中导出 HTML 安全数据，请在放入之前确保其安全。

Answer 2

注意正确使用mysql_real_escape_string的开发者：

如果启用了magic_quotes_gpc，首先将stripslashes() 应用于数据。对已经转义的数据使用此函数将两次转义数据。

如果您发现在 php.ini 中将 magic_quotes_gpc 设置为 On，请将其关闭！

另请查看：http://gr.php.net/manual/en/function.mysql-real-escape-string.php

Answer 3

数据库不应将其存储为I\'m cool，而应存储为I'm cool。转义是允许将撇号作为myColumn 中更新的数据的一部分包含在内。我见过网站向用户显示I\'m cool 的情况，但这可能是双重转义的情况。

编辑：

mysql_real_escape_string 不在数据库中存储斜杠。它转义 SQL 语句中的值。在数据库中获得额外斜线的唯一方法是执行与 mysql_real_escape_string(mysql_real_escape_string($value)) 等效的操作。