写入MySQL数据库时如何处理撇号[重复]答案

【问题标题】：How to deal with an apostrophe while writing into a MySQL database [duplicate]写入MySQL数据库时如何处理撇号[重复]
【发布时间】：2011-05-02 16:45:10
【问题描述】：

我收到此错误：

您的 SQL 语法有错误；查看与您的 MySQL 服务器版本相对应的手册，以了解在 's'、'portal'、''、'offering'、'MSNBC'、'News'、''、'sports'、'' 附近使用的正确语法'MSN','Money','','games'' 在第 3 行

唯一的问题是在插入包含撇号的数据时会出现此错误。我尝试将数据类型从VARCHAR更改为TEXT，但结果还是一样。

我尝试输入addslashes()

我该如何解决这个问题？

$query=" INSERT INTO alltags
 (id,tag1,tag2,tag3,tag4,tag5,tag6,tag7,tag8,tag9,tag10,tag11,tag12,tag13,tag14,tag15,tag16,tag17,tag18,tag19,tag20,tag21,tag22,tag23,tag24,tag25,tag26,tag27,tag28,tag29,tag30)
VALUES      
 ('',mysql_real_escape_string($uniqkey[0]),mysql_real_escape_string($uniqkey[1]),mysql_real_escape_string($uniqkey[2]),mysql_real_escape_string($uniqkey[3]),mysql_real_escape_string($uniqkey[4]),mysql_real_escape_string($uniqkey[5]),mysql_real_escape_string($uniqkey[6]),mysql_real_escape_string($uniqkey[7]),mysql_real_escape_string($uniqkey[8]),mysql_real_escape_string($uniqkey[9]),mysql_real_escape_string($uniqkey[10]),mysql_real_escape_string($uniqkey[11]),mysql_real_escape_string($uniqkey[12]),mysql_real_escape_string($uniqkey[13]),mysql_real_escape_string($uniqkey[14]),mysql_real_escape_string($uniqkey[15]),mysql_real_escape_string($uniqkey[16]),mysql_real_escape_string($uniqkey[17]),mysql_real_escape_string($uniqkey[18]),mysql_real_escape_string($uniqkey[19]),mysql_real_escape_string($uniqkey[20]),mysql_real_escape_string($uniqkey[21]),mysql_real_escape_string($uniqkey[22]),mysql_real_escape_string($uniqkey[23]),mysql_real_escape_string($uniqkey[24]),mysql_real_escape_string($uniqkey[25]),mysql_real_escape_string($uniqkey[26]),mysql_real_escape_string($uniqkey[27]),mysql_real_escape_string($uniqkey[28]),mysql_real_escape_string($uniqkey[29])) "; 
mysql_query($query) or die(mysql_error());

我把它改成了mysql_real_escape_string。这个语法正确吗？我遇到了错误。

【问题讨论】：

id 是一个 auto_increment 所以我把它留空了
使用 PDO...它会同时解决两个问题。 php.net/pdo

标签： php mysql mysql-error-1064

【解决方案1】：

对包含 MySQL 可能解释的字符的数据进行编码的过程称为“转义”。您必须使用 mysql_real_escape_string 转义字符串，这是一个 PHP 函数，而不是 MySQL 函数，这意味着您必须在将查询传递给数据库之前在 PHP 中运行它。您必须转义从外部来源进入程序的任何数据。任何未转义的数据都是潜在的SQL injection。

您必须在构建查询之前转义您的数据。此外，您可以使用 PHP 的循环结构和 range 以编程方式构建查询：

// Build tag fields
$tags = 'tag' . implode(', tag', range(1,30));

// Escape each value in the uniqkey array
$values = array_map('mysql_real_escape_string', $uniqkey);

// Implode values with quotes and commas
$values = "'" . implode("', '", $values) . "'";

$query = "INSERT INTO alltags (id, $tags) VALUES ('', $values)";

mysql_query($query) or die(mysql_error());

【讨论】：

从概念上讲，这很有意义。我仍在尝试将您的代码合并到我的代码中。感谢您的意见
@Karthik 重要的是，在您将数据传递给mysql_query 之前，您意识到mysql_real_escape_string 是在PHP 中运行的。我不知道 OMG Ponies 怎么弄错了……
Function mysql_real_escape_string() was deprecated in PHP 5.5.0 and was removed in PHP 7.0.0.

【解决方案2】：

使用mysql_real_escape_string 是处理 SQL 插入/更新字符的更安全方法：

INSERT INTO YOUR_TABLE
VALUES
  (mysql_real_escape_string($var1),
   mysql_real_escape_string($var2))

另外，我会将您的列从 TEXT 改回 VARCHAR - 除了索引之外，搜索效果更好。

更新您的更新

由于 id 是一个 auto_increment 列，您可以：

将其排除在列列表之外，因此您不必在 VALUES 子句中提供值：

INSERT INTO alltags
  (tag1,tag2,tag3,tag4,tag5,tag6,tag7,tag8,tag9,tag10,tag11,tag12,tag13,tag14,tag15,tag16,tag17,tag18,tag19,tag20,tag21,tag22,tag23,tag24,tag25,tag26,tag27,tag28,tag29,tag30)
VALUES      
  (mysql_real_escape_string($uniqkey[0]),mysql_real_escape_string($uniqkey[1]),mysql_real_escape_string($uniqkey[2]),mysql_real_escape_string($uniqkey[3]),mysql_real_escape_string($uniqkey[4]),mysql_real_escape_string($uniqkey[5]),mysql_real_escape_string($uniqkey[6]),mysql_real_escape_string($uniqkey[7]),mysql_real_escape_string($uniqkey[8]),mysql_real_escape_string($uniqkey[9]),mysql_real_escape_string($uniqkey[10]),mysql_real_escape_string($uniqkey[11]),mysql_real_escape_string($uniqkey[12]),mysql_real_escape_string($uniqkey[13]),mysql_real_escape_string($uniqkey[14]),mysql_real_escape_string($uniqkey[15]),mysql_real_escape_string($uniqkey[16]),mysql_real_escape_string($uniqkey[17]),mysql_real_escape_string($uniqkey[18]),mysql_real_escape_string($uniqkey[19]),mysql_real_escape_string($uniqkey[20]),mysql_real_escape_string($uniqkey[21]),mysql_real_escape_string($uniqkey[22]),mysql_real_escape_string($uniqkey[23]),mysql_real_escape_string($uniqkey[24]),mysql_real_escape_string($uniqkey[25]),mysql_real_escape_string($uniqkey[26]),mysql_real_escape_string($uniqkey[27]),mysql_real_escape_string($uniqkey[28]),mysql_real_escape_string($uniqkey[29])) ";

在列列表中包含 id，这要求您在 VALUES 子句中的位置使用任一值：
- NULL
- DEFAULT

这是一个使用 NULL 作为 id 占位符的示例：

INSERT INTO alltags
  (id,tag1,tag2,tag3,tag4,tag5,tag6,tag7,tag8,tag9,tag10,tag11,tag12,tag13,tag14,tag15,tag16,tag17,tag18,tag19,tag20,tag21,tag22,tag23,tag24,tag25,tag26,tag27,tag28,tag29,tag30)
 VALUES      
  (NULL,mysql_real_escape_string($uniqkey[0]),mysql_real_escape_string($uniqkey[1]),mysql_real_escape_string($uniqkey[2]),mysql_real_escape_string($uniqkey[3]),mysql_real_escape_string($uniqkey[4]),mysql_real_escape_string($uniqkey[5]),mysql_real_escape_string($uniqkey[6]),mysql_real_escape_string($uniqkey[7]),mysql_real_escape_string($uniqkey[8]),mysql_real_escape_string($uniqkey[9]),mysql_real_escape_string($uniqkey[10]),mysql_real_escape_string($uniqkey[11]),mysql_real_escape_string($uniqkey[12]),mysql_real_escape_string($uniqkey[13]),mysql_real_escape_string($uniqkey[14]),mysql_real_escape_string($uniqkey[15]),mysql_real_escape_string($uniqkey[16]),mysql_real_escape_string($uniqkey[17]),mysql_real_escape_string($uniqkey[18]),mysql_real_escape_string($uniqkey[19]),mysql_real_escape_string($uniqkey[20]),mysql_real_escape_string($uniqkey[21]),mysql_real_escape_string($uniqkey[22]),mysql_real_escape_string($uniqkey[23]),mysql_real_escape_string($uniqkey[24]),mysql_real_escape_string($uniqkey[25]),mysql_real_escape_string($uniqkey[26]),mysql_real_escape_string($uniqkey[27]),mysql_real_escape_string($uniqkey[28]),mysql_real_escape_string($uniqkey[29])) ";

我想真的强调你不应该这样设置你的列。

【讨论】：

我编辑了我的问题。我的语法有什么问题吗？
@Ponies：这段代码真的错了。我会调查谁给了你四张赞成票并杀死他们。您不能将 PHP 函数调用混合到 SQL 字符串中。您必须跳出“字符串”并调用 .mysql_real_escape()。分别为每个变量。
@Ponies 请解决这个问题。在很多层面上都是错误的！
Function mysql_real_escape_string() was deprecated in PHP 5.5.0 and was removed in PHP 7.0.0.

【解决方案3】：

meagar 的回答略有改进：

编辑： meagar 更新了他的帖子，所以他的回答现在更好了。

$query = 'INSERT INTO alltags (id, ';

// append tag1, tag2, etc.
$query .= 'tag' . implode(', tag', range(1, 30)) . ") VALUES ('', ";

// escape each value in the uniqkey array
$escaped_tags = array_map('mysql_real_escape_string', $uniqkey);

// implode values with quotes and commas, and add closing bracket
$query .= "'" . implode("', '", $escaped_tags) . "')";

// actually query
mysql_query($query) or die(mysql_error());

【讨论】：

+1 就像你构建标签字符串的方式一样；时间不早了，我累了。

【解决方案4】：

请看meagars的回答。这是正确的代码。

如果你想使用被误导的 mysql_query() 函数，那么你必须将 SQL 字符串分解如下：

mysql_query(
    "INSERT INTO whateever (col1,col2,col3,col4) VALUES ("
    . mysql_real_escape_string($col1) 
    . ","
    . mysql_real_escape_string($col2) 
    . ","       
    . mysql_real_escape_string($col3) 
    . ","
    . mysql_real_escape_string($col4) 
    . ")"
);

或者因为你有一个数组，使用聪明的方法调用来一次全部转义：

$uniqkey = array_map("mysql_real_escape_string", $uniqkey);

mysql_query("USE THE ESCAPED ARRAY THEN DIRECTLY ('$uniqkey[0]', '$uniqkey[1]', '$uniqkey[2]', '$uniqkey[3]', ...");

【讨论】：