将带有单引号的表单数据存储到 MySQL [重复]答案

【问题标题】：Storing form data with single quotes to MySQL [duplicate]将带有单引号的表单数据存储到 MySQL [重复]
【发布时间】：2012-09-21 12:40:21
【问题描述】：

可能重复：
PHP, why do you escape my quotes?

如果我在输入字段中输入文本，然后尝试使用 PHP mysqli Prepared Statements 将其显示或保存到 MySQL，我会在单引号之前得到一个额外的反斜杠。

$name = $_POST['name'];
echo "name=($name)";

这输出：不我还将这个额外的反斜杠存储在 MySQL 中。

我怎样才能避免这种情况并且仍然能够输入反斜杠？

问候，马格努斯链

【问题讨论】：

关闭magic quotes。
阅读The Great Escapism (Or: What You Need To Know To Work With Text Within Text)和php.net/manual/en/security.magicquotes.php。
这个问题之前已经被问过（并得到了回答）：PHP, why do you escape my quotes? - 请不要发布重复的问题，而是先搜索您的问题以找到与之相关的问题。
推荐有趣的文章。我还发现这个链接很有用：link。我现在使用stripslashes。我忘了提到我在 Linux 网络酒店上使用 PHP 5.3.10 和 WordPress 3.2.1，并使用 .htaccess 文件设置为此 php_flag magic_quotes_gpc off 我在本地关闭了此设置，但不是主设置。

标签： php mysql mysqli

【解决方案1】：

使用斜线，

echo stripslashes("Who\'s Kai Jim?"); //Who's Kai Jim?

【讨论】：

【解决方案2】：

打开您的 php.ini 文件并转到第 460 行（几乎）并关闭魔术引号。喜欢

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off

保持魔术引号关闭是开始应用程序安全性的好方法。魔术引号本质上是坏的。它们旨在清理 PHP 脚本的输入，但在不知道如何使用该输入的情况下，无法正确清理。

魔术引号的 PHP 手册页同意：

"This feature has been DEPRECATED as of PHP 5.3.0 and REMOVED as of PHP 6.0.0. Relying on this feature is highly discouraged. Magic Quotes is a process that automagically escapes incoming data to the PHP script. It's preferred to code with magic quotes off and to instead escape the data at runtime, as needed."

【讨论】：