对将带单引号字符串插入 mysql数据库的问题

发布时间：2023-05-31 10:45:29 所属栏目：PHP教程来源：

导读：今天在向MysqL数据库中插入带单引号字符串的时候，什么错也没报就是语句执行失败，后来才知道，单引号等要转义，可以使用函数：MysqL_real_escape_string和addslashes函数；

以下做个介绍：往数据库中插入数据之前

今天在向MysqL数据库中插入带单引号字符串的时候，什么错也没报就是语句执行失败，后来才知道，单引号等要转义，可以使用函数：MysqL_real_escape_string和addslashes函数；

以下做个介绍：往数据库中插入数据之前是要先转义的,在插入数据库.

本文主要介绍的是用MysqL_real_escape_string对用户提交的表单数据进行转义处理和通过addslashes以及MysqL_escape_string这3个类似功能的函数用法区别。

本文很好的说明了addslashes和MysqL_real_escape_string的区别，虽然国内很多PHP coder仍在依靠addslashes防止sql注入，我还是建议大家加强中文防止sql注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。

当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用MysqL_real_escape_string吧。

另外对于PHP手册中get_magic_quotes_gpc的举例：

<?PHP

if (!get_magic_quotes_gpc()) {

$lastname = addslashes($_POST["lastname"]);

} else {

$lastname = $_POST['lastname'];

}

?>

最好对magic_quotes_gpc已经开放的情况下，还是对$_POST['lastname']进行检查一下。

再说下MysqL_real_escape_string和MysqL_escape_string这2个函数的区别：

MysqL_real_escape_string 必须在(PHP 4 >= 4.3.0,PHP 5)的情况下才能使用。否则只能用 MysqL_escape_string ，两者的区别是：

MysqL_real_escape_string 考虑到连接的当前字符集，而MysqL_escape_string 不考虑。

总结一下：

addslashes() 是强行加；

MysqL_real_escape_string() 会判断字符集，但是对PHP版本有要求；

MysqL_escape_string不考虑连接的当前字符集。

（编辑：驾考网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!