对于MySQL REGEXP，mysql_real_escape_string()足够了吗？

Question

是否可以选择以下代码中的$user_input来使MySQL查询的行为不像预期的那样？

<?
$regexp = mysql_real_escape_string( $user_input );
mysql_query( "SELECT col FROM table WHERE col REGEXP \"$regexp\"" );
?>

我不能使用预准备语句，因为SQL字符串需要传递一点。

编辑:我要补充的是，我已经意识到了正则表达式DoS攻击。

Answer 1

此查询：

mysql_query("SELECT col FROM table WHERE col REGEXP '$regexp'");

不能被颠覆来做除SELECT之外的事情(我用单引号代替了双引号，因为double是mysql唯一的扩展)。

但是，如果regexp本身不在您的直接控制之下，用户可能会用它选择任何内容--您应该考虑这是一个问题的可能性。

Answer 2

不，您在那里是安全的(除了regex，它当然可以是任何东西)。

不过，如果您传递了$link_identifier，您将会更高效(也更安全)，因为PHP必须了解数据库的内容才能正确转义(例如编码)。所以这个函数不是简单地转义字符串，而是询问mysql如何正确地转义字符串。

因此，传递链接标识符可以确保您的字符串被正确地转义到它所指向的数据库中。