Magento:默认Adminhtml控制器中PHP中的警告

Question

在调试Magento时，我发现了这个奇怪的警告。

警告: mysql_real_escape_string()函数.#en0#real-escape string:拒绝访问/mnt/www/t2/app/code/core/Mage/Adminhtml/Controller/Action.php第508行上的用户'apache'@'localhost‘(使用密码: NO)

在函数checkforSqlInjectionInAction()

根据我的理解，当您无法打开到数据库的连接时，就会出现此警告。然而，在我的配置中，我没有使用本地服务器，因此我们无法连接到本地服务器是很自然的。

此警告位于checkforSqlInjectionInAction()中。

Answer 1

欢迎来到调试别人Magento代码的奇妙世界。核心Magento代码不包含名为checkforSqlInjectionInAction的方法，因此您已经在处理由其他人的代码创建的核心黑客。

对于您的特定错误，mysql_real_escape_string将询问MySQL数据库正确的转义字符序列是什么。然而，这个函数是为处理PHP的原始MySQL模块而设计的

对MySQL连接执行

操作。如果未指定链接标识符，则假定使用mysql_connect()打开的最后一个链接。如果找不到这样的链接，它将尝试创建一个链接，就好像调用mysql_connect()时没有参数一样。如果未找到或未建立连接，则会生成E_WARNING级错误。

由于Magento不使用mysql_connect，PHP会尝试使用默认的'apache'@'localhost'用户名创建连接，而不使用密码。

您应该使用原始PDO或读/写Magento连接资源来创建SQL语句。这些对象允许您创建具有绑定参数的查询，其中不需要手动转义数据库字符串。