储存个人引文

Question

可能重复：

Best way to stop SQL Injection in PHP

我很好奇在将文本字符串(这是引号)上运行哪些函数，然后再将其存储到数据库中。

我想要处理它，如果它包含单引号，以及其他双引号或其他任何东西。

Answer 1

在php方面，您应该使用trim() and stripslashes()，如果使用mysql，则使用mysql_real_escape_string()。

您可以按以下顺序使用它们：

第一次stripslashes()

然后修剪()

mysql_real_escape_string()

Answer 2

从最有效到最不有效，您可以做四件事(我在这里假设是MySQL，因为它是PHP最常见的组合)：

如果参数化查询不是一种选择，那么使用mysql_real_escape_string().

• addslashes()和stripslashes()在特定情况下可能是有效的，但是除非你知道自己在做什么，而且除非你确信它不会使你的代码容易受到多字节注入attacks.

• Approaches的攻击，比如“去掉空白”，否则在这里是完全没用的。“货崇拜编程”，你可以这么说。

Answer 3

如果使用mysql_real_escape_string()，则使用MySQL。