Perl 中的特殊字符

Question

我正在创建一个 CGI 表单来更新 Sybase 存储过程。

qq {execute procedure test(123,45,date,'$note');}; $note 变量是从包含故障单日志信息的文本框中获得的信息。因此，输入此类信息的人可以并且很可能会使用特殊字符，例如 '|"{} 等。我很想知道是否有办法通过变量 $note 将这些信息输入数据库。

我的大部分研究都产生了 DBI->quote() 函数，但它们似乎不起作用，而且我不确定它们的相关性，因为这是一个存储过程。

现在我正在尝试以下方法：

use DBI; <br>$livedb = DBI-&gt;connect("dbi:Sybase:server=test","admin","pass") || die "could not connect to live DB, $DBI::errstr"; <br>$note = "testing special characters:"; <br>$livedb-&gt;do(qq {execute procedure jinsert(5304905,65,getdate,?);},undef,(param('$note')));

我收到以下错误：

Undefined subroutine &main::param called at test.cgi line 11.

当我使用以下方法时，如果$note 中存在'，则代码将失败：

$qy = $livedb->prepare($note);
$qy->execute($test) || die "could not journal: $DBI::errstr";
$qy->finish();

Answer 1

首先，直接回答您的问题：DBI->quote() 确实是您的朋友 :-) 它以正确的方式为您使用的数据库的语言在字符串周围加上引号（这总是SELECT/UPDATE/INSERT/DELETE 查询与存储过程相同，因为后者通常由前者的组合组成！）。

例如，假设$dbh 已设置为您到数据库的 DBI 连接，那么

my $string = "Here's a string that needs \"quoting\"!";

print $dbh->quote($string);

打印类似：

'Here''s a string that needs "quoting"!'

注意方法：

• 它是' 在Here's 中的两倍
• 它在整个字符串周围加上'' 引号。

它打印的确切字符串取决于您的数据库 - 有些使用略有不同的约定。

不过……

看看你在做什么，你实际上不应该做任何引用：让 DBI 为你做所有的工作，就像这样：

$livedb->do(qq {execute procedure jinsert(5304905,65,getdate,?);}, undef, $note);

DBI 代码知道要执行什么引用才能将 ? 替换为 $note。

Answer 2

我终于弄清楚了问题所在。我可以使用q {$note}; 转义 perl 中的所有特殊字符。 dbh->quote 在这里不适用，因为它调用了存储过程，而且问题不仅仅是匹配 qoutes。单个 qoutes 必须转义到存储过程。 q 和 sed 的组合修复了它：

use DBI;
$livedb = DBI->connect("dbi:Sybase:server=test","admin","pass") || die "could not connect to live DB, $DBI::errstr";
$note = q {testing special characters:''''''''''''''!@#$%^%^&*()};
$note =~ s/'/\\'/g;
$livedb->do(qq {execute procedure jinsert(5304905,65,getdate,?);},undef,(param('$note')))

所以简而言之，当调用像这样的存储过程时，单个 qoutes 需要转义两次（一次在 perl 中，第二种类型用于存储过程）。