应该在MySQL中转义引号吗？

Question

我正在开发一个门户，我有以下几个关于在MySQL表中保存数据的问题：

1. 我应该保存varchar字段转义吗？我正在使用now mysql_real_escape_string()来避免使用mysql_real_escape_string()，如果我没有转义就可以保存它们(这是一个家伙在这个网站上提出的)，以及这对于单引号和双引号这样的字符是如何工作的。它不是破坏了SQL命令吗?

简单地谈论这个话题。

最后一件事.我在使用mysql_real_escape_string之前使用了加号和条带，它对我起作用(当然，使用mysql-注入恶意代码的机会，我最近发现并记录了自己在它上).

谢谢

Answer 1

我应该保存varchar字段转义吗？

不是的。您应该转义数据，以便在SQL中具有特殊意义的字符(在数据中)不会引起问题。

一旦它通过SQL并存储在数据库中，就不会再转义了。

，我现在使用mysql_real_escape_string()来避免字符串注入。

不要那样做，而是使用prepared statements and parameterized queries

i在使用附加斜杠和条带斜杠

addslashes是一种基本的转义形式。除非您确切知道数据的目标是什么，否则这是没有意义的。如果存在这样的事情，您应该使用更具体的东西(而且是- mysql_real_escape_string)。

stripslashes所做的与addslashes相反。把它们结合在一起是毫无意义的。

Answer 2

任何程序员必须学习的最基本的东西是context的含义。

我在这干什么？如果你知道上下文的含义，你就不会问这个问题了。现在(我希望)您知道，您不会问如何将<test>显示为HTML，也不会询问如何将变量传递给javascript。

那到底是怎么回事？真的很简单。上下文是一个简单的事实，系统中的某些东西可能意味着其他地方完全不同的东西。

例如，在您的示例中，something的含义可能与MySQL完全不同。你不能只是传递字符串，期待一切顺利运行--它不会。所以，既然你知道上下文的含义，你就需要知道其他一些重要的东西。您总是需要将一个值从旧的上下文转换为新的上下文。总是.

同样，在您的示例中，它是mysql_real_escape_string()，但这是一个警告词；转换函数是特定于上下文的，因此不能使用mysql_real_escape_string()将字符串从PHP传递到Javascript。类似地，您不能仅仅使用addslashes()并期望它能够工作。实际上，我认为addslashes()是一个完全无用和误导的函数， Do 而不是使用它，除非您非常确定自己在做什么。