mysql-真正的转义字符串:在CakePHP中拒绝访问

Question

在使用CakePHP将数据保存到数据库之前，我正在尝试使用mysql--真正的转义-字符串对输入进行清理。我得到以下错误

mysql_real_escape_string() Function.mysql-真正的-转义-字符串:拒绝用户‘任何人’@‘localhost’的访问(使用密码: NO)

我的守则：

public function admin_videos($id = null) {
        if(!($this->isLogged() && $this->isAuthorized())) {
            $this->redirect(array('controller' => 'users', 'action' => 'login', 'admin' => true));
        }
        if ($this->request->is('post')) {
            $this->request->data['MovieVideo']['video'] = mysql_real_escape_string($this->request->data['MovieVideo']['video']);
            $this->request->data['MovieTrailer']['video'] = mysql_real_escape_string($this->request->data['MovieTrailer']['video']);
            if ($this->Movie->saveAll($this->request->data)) {
                $this->Session->setFlash('The movie has been saved', 'admin/flash_success');
                $this->redirect(array('action' => 'index'));
            } else {
                $this->Session->setFlash('The movie could not be saved. Please, try again.', 'admin/flash_error');
            }
        } else {
          $this->request->data = $this->Movie->find('first', array('conditions' => array('Movie.id' => $id), 'contain' => array('MovieTrailer', 'MovieVideo')));
        }
    }

Answer 1

来自文档

如果使用CakePHP的ORM方法(如find()和save())和适当的数组表示法(即，)，CakePHP已经保护您不受SQL注入的影响。数组(‘field’=> $value)，而不是原始SQL。

因此，忘记手动调用mysql_real_escape_string()吧。

Answer 2

我想你还没有连接到mysql数据库。使用正确的凭据尝试mysql_connect()和mysql_select_db()

Answer 3

mysql_real_escape_string()需要将到数据库的连接作为第二个参数，除非您已经打开连接：http://php.net/manual/en/function.mysql-real-escape-string.php

您可以尝试以下一个：

• 尝试使用mysql_escape_string (现在已不再推荐)
• 切换到PDO并使用引号函数( http://uk3.php.net/manual/en/pdo.quote.php )
• 先初始化到数据库的连接，然后将该连接传递给mysql_real_escape_string

通常，我建议使用PDO，因为它比mysql_*函数更好，更受支持