Php mysql引号转义函数

PHP中的MySQL引号转义函数主要是mysqli_real_escape_string()（针对mysqli扩展）和PDO::quote()（针对PDO扩展）。这些函数用于防止SQL注入攻击，通过转义特殊字符来确保用户输入的数据安全地插入到SQL查询中。

基础概念

• SQL注入：是一种代码注入技术，攻击者通过在应用程序的查询中插入恶意SQL代码，从而对后端数据库进行非法操作。
• 转义：是指将特殊字符转换为它们的转义序列，这样它们就不会被解释为SQL代码的一部分。

相关优势

• 安全性：防止SQL注入攻击，保护数据库不受恶意访问。
• 数据完整性：确保用户输入的数据不会破坏SQL查询的结构。

类型

• mysqli_real_escape_string()：需要一个MySQL连接和一个字符串作为参数，返回转义后的字符串。
• PDO::quote()：需要一个PDO数据库连接和一个字符串作为参数，返回一个包含引号的字符串，该字符串可以安全地用于SQL语句。

应用场景

• 当你需要将用户输入的数据插入到SQL查询中时。
• 在构建动态SQL查询时，特别是当查询条件来自不可信来源时。

示例代码

使用mysqli_real_escape_string()

<?php
$mysqli = new mysqli("localhost", "user", "password", "database");

if ($mysqli->connect_error) {
    die("连接失败: " . $mysqli->connect_error);
}

$userInput = $_POST['username'];
$escapedInput = $mysqli->real_escape_string($userInput);

$sql = "SELECT * FROM users WHERE username = '$escapedInput'";
$result = $mysqli->query($sql);

// 处理结果...

$mysqli->close();
?>

使用PDO::quote()

<?php
try {
    $pdo = new PDO("mysql:host=localhost;dbname=database", "user", "password");

    $userInput = $_POST['username'];
    $quotedInput = $pdo->quote($userInput);

    $sql = "SELECT * FROM users WHERE username = $quotedInput";
    $stmt = $pdo->query($sql);

    // 处理结果...

} catch (PDOException $e) {
    echo "数据库连接失败: " . $e->getMessage();
}
?>

遇到的问题及解决方法

问题：为什么使用转义函数后仍然发生了SQL注入？

• 原因：可能是因为开发者没有正确使用转义函数，或者在某些情况下，如使用了预处理语句（prepared statements），转义函数是不必要的。
• 解决方法：确保总是使用预处理语句来处理用户输入，因为它们提供了更高级别的安全性。

问题：为什么mysqli_real_escape_string()或PDO::quote()没有生效？

• 原因：可能是因为数据库连接没有正确建立，或者函数调用时参数不正确。
• 解决方法：检查数据库连接是否成功建立，并确保传递给转义函数的参数是正确的。

参考链接

• PHP: mysqli::real_escape_string - Manual
• PHP: PDO::quote - Manual

请注意，随着PHP版本的更新，一些函数和扩展可能已经过时或被新的方法取代。因此，建议查阅最新的PHP官方文档以获取最准确的信息。