如何删除 SQL 注入中手动添加的反斜杠？

Question

我正在使用 MySQL 和 PHP 来管理我网站上的数据。

我有一个以 TeX 格式输入的段落，其中包含许多数学公式。我想在我的数据库中插入并在其他地方检索相同的内容。

在检索时，我正在使用 mathjax 来显示数学部分。 插入数据时出现问题。

当我插入数据时

$\int f d\mu $ ( Note that this '\' is required to run the math formula)

我将插入的数据作为

$\\int f d \\mu $

有两个反斜杠而不是一个。

如何使用手动添加的反斜杠（这是必需的）来防止每次添加的反斜杠。

stripslashes() 会提供帮助或任何其他解决方案吗？

提前致谢。

<form action="" method="POST">



<input type="hidden" name="id" value=<?php echo $print->Id; ?> >

<table class="speaker-abstract" style="width:49%; float:left;">

  <tr>

  <th> Update the Abstract Details Here </th>
  </tr>

<tr>
<td>
<label> Title of the Talk </label>
<input  style="width:95%" type="text" name="title1"  value="<?php echo $print->title_of_the_talk1; ?>">
</td>


</tr>

<tr>
<td> 
<label> Abstract of the Talk (Type in TeX format) </label>

 <textarea style="width:95%" name="abstract1"  rows="10"  ><?php echo $print->Abstract1; ?></textarea>

 </td>

 </tr>

  </table>

  <table class="speaker-abstract" style="width:49%; float:left;">
  <tr>

  <th> If any other, update the Abstract Details Here </th>
  </tr>

<tr>
<td>
<label> Title of the Talk </label>
 <input style="width:95%" type="text" name="title2" value="<?php echo $print->title_of_the_talk2; ?>">
</td>

</tr>

<tr>
<td> 
<label> Abstract of the Talk  (Type in TeX format) </label>
 <textarea style="width:95%" name="abstract2"  rows="10"  > <?php echo $print->Abstract2; ?> </textarea>

 </td>

 </tr>

  </table>

 <input style="float:right;" type="submit" name="update_abstract" value="Submit/Update"> 

</form>

提交表单和显示数据的php代码如下。

<?php

$success_msg="Updated Successfull !!!";
$search= "Search the Speaker Here";

if (isset($_POST['update_abstract'])){
$id=$_POST['id'];
$title1=$_POST['title1'];
$title2=$_POST['title2'];
$abstract1=$_POST['abstract1'];
$abstract2=$_POST['abstract2'];

$update=$wpdb->update( 
    'Invited_Speakers_auto', 
    array( 
        'title_of_the_talk1' => $title1,
        'title_of_the_talk2' => $title2,
        'abstract1' => $abstract1,
        'abstract2' => $abstract2

    ), 
    array( 'id' => $id )

);
if ($update==true){

echo $success_msg.$abstract1;

}else
{
 $success_msg="There is an error in the update";
}

}
?>

PS：

1. 请注意，我需要用户插入的斜线，我只需删除在 sql 插入发生时自动插入的斜线。

2. stipslashes() 帮助我删除输出中添加的斜线。

但我想在插入时删除反斜杠。

Answer 1

您可以将 MySqli 或 PDO 与准备好的语句一起使用。顺便说一句，这是防止 sql 注入的最著名方法。 Learn more about Sql Injection Prevention from this fantastic answer!

以下代码成功地将字符串插入 MySql 数据库并从中读取。希望对您有所帮助！

 <?php
    $_user = 'root';
    $_password= 'root';
    $_db = 'localtest';
    $_host = 'localhost';
    $_port = 3306;
    $con = new mysqli($_host, $_user, $_password, $_db) or die(mysql_error);

    $new = '$\int f d\mu $';

        //insert into mysql table
        $sql="INSERT INTO test (math) VALUES (?); ";
        $stmt = $con-> prepare($sql);
        $stmt -> bind_param("s", $new);
        $stmt -> execute();

    // Reading From DB
    $id = 1;
    $sql="SELECT math FROM test WHERE id = ?";
    $stmt = $con->prepare($sql);
    $stmt->bind_param("i", $id);
    $stmt -> execute(); 
    $stmt->store_result();
    /* Get the number of rows */
    $num_of_rows = $stmt->num_rows;

    /* Bind the result to variables */
    $stmt->bind_result($new);

    if($num_of_rows < 1){ 
        echo "Can't find any record!"; 
        mysqli_close($con); 
        exit();
    }
    while ($stmt->fetch())
    {
        echo $new . PHP_EOL;

        /* free results */
        $stmt->free_result();

    }
    mysqli_close($con); 
    exit();
   ?>

更新

如果您不能使用 PDO 或 MySqli，那么 mysql_real_escape_string 可以帮助您正确转义特殊字符。

您也可以尝试在插入数据库之前使用htmlentities，然后在检索时使用html_entity_decode。