PHP mysql_real_escape_string() 函数

转载 2012年03月31日 14:44:02

定义和用法

mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。

下列字符受影响:

  • \x00
  • \n
  • \r
  • \
  • '
  • "
  • \x1a

如果成功,则该函数返回被转义的字符串。如果失败,则返回 false。

语法

mysql_real_escape_string(string,connection)
参数 描述
string 必需。规定要转义的字符串。
connection 可选。规定 MySQL 连接。如果未规定,则使用上一个连接。

说明

本函数将 string 中的特殊字符转义,并考虑到连接的当前字符集,因此可以安全用于 mysql_query()

提示和注释

提示:可使用本函数来预防数据库攻击。

例子

例子 1

<?php
$con = mysql_connect("localhost", "hello", "321");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

// 获得用户名和密码的代码

// 转义用户名和密码,以便在 SQL 中使用
$user = mysql_real_escape_string($user);
$pwd = mysql_real_escape_string($pwd);

$sql = "SELECT * FROM users WHERE
user='" . $user . "' AND password='" . $pwd . "'"

// 更多代码

mysql_close($con);
?>

例子 2

数据库攻击。本例演示如果我们不对用户名和密码应用 mysql_real_escape_string() 函数会发生什么:

<?php
$con = mysql_connect("localhost", "hello", "321");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

$sql = "SELECT * FROM users
WHERE user='{$_POST['user']}'
AND password='{$_POST['pwd']}'";
mysql_query($sql);

// 不检查用户名和密码
// 可以是用户输入的任何内容,比如:
$_POST['user'] = 'john';
$_POST['pwd'] = "' OR ''='";

// 一些代码...

mysql_close($con);
?>

那么 SQL 查询会成为这样:

SELECT * FROM users
WHERE user='john' AND password='' OR ''=''

这意味着任何用户无需输入合法的密码即可登陆。

例子 3

预防数据库攻击的正确做法:

<?php
function check_input($value)
{
// 去除斜杠
if (get_magic_quotes_gpc())
  {
  $value = stripslashes($value);
  }
// 如果不是数字则加引号
if (!is_numeric($value))
  {
  $value = "'" . mysql_real_escape_string($value) . "'";
  }
return $value;
}

$con = mysql_connect("localhost", "hello", "321");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

// 进行安全的 SQL
$user = check_input($_POST['user']);
$pwd = check_input($_POST['pwd']);
$sql = "SELECT * FROM users WHERE
user=$user AND password=$pwd";

mysql_query($sql);

mysql_close($con);
?>

Mysql数据库安全性问题【防注入】

一、SQL注入实例后台的插入语句代码:$unsafe_variable = $_POST['user_input']; mysql_query("INSERT INTO `table` (`co...
  • ty_hf
  • ty_hf
  • 2015年10月12日 17:14
  • 1266

MySQL宽字节注入漏洞分析

MySQL宽字节注入漏洞分析 By HelloWeb 2017-3-7 MySQL宽字节注入漏洞是SQL注入漏洞攻防技术相互促进的一个典型例子。 1 经典SQL注入漏洞 例子1是没有任何SQL...
  • HelloWeb2014
  • HelloWeb2014
  • 2017年03月07日 11:38
  • 1859

mysql 的Escape转义字符串

一、转义的意义 用户输入如果没有任何限制的话,则必须对特殊字符进行变换。  如果对单引号不进行变换,轻者不能正常执行功能,重则会发生数据库错误,甚至可能导致系统崩溃。 二、需要转义的字符类型 ...
  • jiayichendddd
  • jiayichendddd
  • 2015年01月24日 15:21
  • 8649

PHP函数篇之( mysql_real_escape_string 与 addslashes )的区别

addslashes 和 mysql_real_escape_string 都是为了使数据安全的插入到数据库中而进行的过滤,那么这两个函数到底是有什么区别呢? 首先,我们还是从PHP手册入手: ...
  • qq_16619037
  • qq_16619037
  • 2016年02月19日 09:39
  • 274

PHP mysql_real_escape_string() 函数防止数据库攻击

PHP mysql_real_escape_string() 函数 PHP MySQL 函数 定义和用法 mysql_real_escape_string() 函数转义 SQL 语句...
  • lengyue1084
  • lengyue1084
  • 2013年04月26日 13:53
  • 527

PHP mysql_real_escape_string() 函数

PHP mysql_real_escape_string() 函数转自:http://www.w3school.com.cn/php/func_mysql_real_escape_string.asp...
  • moonlit1228
  • moonlit1228
  • 2011年02月13日 00:49
  • 353

关于PHP mysql_real_escape_string() 函数对数据库的保护作用 ,预防数据库被攻击的一种手段

先说明mysql_real_excape_string()函数的用法 例子1:
  • baidu_30000217
  • baidu_30000217
  • 2015年09月26日 11:04
  • 446

PHP函数addslashes和mysql_real_escape_string的区别

首先:不要使用mysql_escape_string,它已被弃用,请使用mysql_real_escape_string代替它。 mysql_real_escape_string和addslashe...
  • tianshui121
  • tianshui121
  • 2015年08月19日 09:57
  • 271

PHP mysql_real_escape_string() 函数预防数据库攻击

定义和用法 mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。 下列字符受影响: \x00\n\r\'"\x1a 如果成功,则该函...
  • manbujingxin
  • manbujingxin
  • 2011年09月08日 10:42
  • 434

一个登陆安全的函数PHP mysql_real_escape_string() 函数

众所周知,我们现在访问大部分网站都需要我们登陆之后才能够获得更多的资源,所以开发网站的时候第一个想到的功能莫过于登陆与注册,其中登陆的时候就涉及的安全问题了,比如你的后台,是不希望大家都去登陆的,所以...
  • AKmumu2010
  • AKmumu2010
  • 2013年01月21日 18:11
  • 503
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:PHP mysql_real_escape_string() 函数
举报原因:
原因补充:

(最多只允许输入30个字)