mysql_real_escape_string 在将带有撇号的单词保存到数据库时添加斜杠“\”[重复]

Question

可能重复：
mysql_real_escape_string and single quote

编辑：我已经检查并且我的托管服务的 mysql 数据库设置为：

  Language: English (en-utf-8)
   MySQL charset: UTF-8 Unicode (utf8)

下面的“userItem”变量来自用户在表单上输入的文本字符串。

当我输入“这是 A 的用户项目”时——我在上面使用 mysql_real_escape_string——这是保存到数据库的内容：

       "this is A\'s user item"

糟糕。我的测试字符串保存了一个 backslsh。

如果我注释掉 mysql_real_escape_string($userItem) 并在查询字符串中使用 $userItem -- 这就是存储在数据库中的内容：

       "this is A's user item"

很好！！没有反斜杠。

但让我们面对现实吧，出于安全原因，我真的很想使用 mysql_real_escape_string —— 我被引导相信在保存之前对字符串使用 mysql_real_escape_string 更安全将它们添加到数据库中。

问题：当我检索我的文本字符串 "this is A\'s user item" 并将其显示在浏览器中时——字符串中有斜杠。这让用户感到惊讶——他们没有输入 “这是 A 的用户项目”，他们输入的是 “这是 A 的用户项目”强>。

代码如下：

 $newItemInsertQuery = "INSERT INTO " . Dbases::$USERITEMS_TABLE 
   . " VALUES "
   . "('" 
   . mysql_real_escape_string( $loggedInUser ) . "', '" 
  //. mysql_real_escape_string($userItem) . "', '" COMMENTED OUT due to extraneous backslash
   . $userItem . "', '"
   . mysql_real_escape_string($description) . "', '" 
   . mysql_real_escape_string($itemImage) . "', '"
   . mysql_real_escape_string($userSubfolder) .  "')";

   $result = mysql_query($newItemInsertQuery);

我怀疑以下情况；

• 我期望在数据库插入之前对字符串使用 mysql_real_escape_string 是件好事。

• 但我不知道必须采取的其他步骤

Answer 1

我强烈建议通过mysqli 或PDO（两者都是PHP 内置的）使用参数化查询。

mysql_real_escape_string() 充其量只是权宜之计。使用参数化查询既不那么麻烦（避免这样的问题），又更安全——而且对于许多事情来说，它还可以更有效。

它还可以更清楚地了解传入和进入数据库的数据，因为它不需要执行任何类型的转义。

Answer 2

在将字符串保存到数据库之前对字符串使用 mysql_real_escape_string 会更安全。

这并不“更安全”。
这实际上是一个严格的规则。

但是您的问题不是来自此函数，而是来自其他破坏数据的代码或设置。

所以，我们这里有两个问题。

1. 如何让你相信这不是这个函数的错。
2. 如何找到真正的原因。

对于第一个，请回显最终查询

echo $newItemInsertQuery;

在这里发布你得到的东西

感谢发帖
现在让我们看看
由于语法错误，您发布的查询将永远不会执行。

INSERT INTO useritems VALUES ('b@b.com', 'b' s 4th item', 'the 4th item', '', '')

看到强调的部分：这里你的字符串文字是封闭的，没有正确的语法关键字。

用这个改变你的查询调用

$result = mysql_query($newItemInsertQuery) or trigger_error(mysql_error()." ".$query);
exit;

看看

Answer 3

我相信我已经找到了额外反斜杠的来源以及解决方案。我会在这里发布，然后回来发布我目前正在研究的解决方案。

表单的 input type="text" 字段被提交，当其中带有撇号的文本字符串然后在 PHP 中的服务器端从 $_POST 数组中提取出来并以方式显示时echo 中的斜杠 已经在文本字符串中，如下所示：

“这就是它的样子”

我无法使用我的网站目录中的 .htaccess 文件来使用该行关闭“魔术引号”

php_flag magic_quotes_gpc 关闭

因为 1and1 托管服务器显示错误（请参阅上面的我的 cmets）并且不会运行我的网站。

我有一个解决方案，一旦得到证实，我会发回。

我已经测试了下面的代码并且它可以工作——在我的表单上，我输入字符串 "b's 6th item"，当表单被提交时，这段代码处理表单的 POST：

 $itemName = $_POST['theItemname'];
 echo $itemName; 
 if (get_magic_quotes_gpc())
 {
    $stripped = stripslashes($itemName);
    echo "<br /> This is itemName string after stripping: " . $stripped;
 }

输出是：

     b\'s 6th item
     This is itemName string after stripping: b's 6th item

我已阅读下面的 cmets，并将查看所有选项。现在，我现在需要一个解决方案，上面避免调用stripslashes()，除非'magic quotes'打开——它有效。

我会准备好回复并尝试找到更优雅的方式！谢谢大家。