php 函数积累记录 -- mysql_real_escape_string

今天看到了一笔记上面是这么说的：

 

2. 不转意SQL输入
我曾经在一篇文章中最简单的防止sql注入的方法(php+mysql中)讨论过这个问题并给出了一个简单的方法 。有人对我说，他们已经在php.ini中将magic_quotes设置为On，所以不必担心这个问题，但是不是所有的输入都是从$_GET, $_POST或 $_COOKIE中的得到的！
如何修复：
和在最简单的防止sql注入的方法(php+mysql中)中一样我还是推荐使用mysql_real_escape_string()函数
正确做法：
<?php
$sql = "UPDATE users SET
name='.mysql_real_escape_string($name).'
WHERE id='.mysql_real_escape_string ($id).'";
mysql_query($sql);
?>

 

以下是PHP手册中的介绍：

mysql_real_escape_string

(PHP 4 >= 4.3.0)

mysql_real_escape_string --  转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集

说明

string mysql_real_escape_string ( string unescaped_string [, resource link_identifier])

本函数将 unescaped_string 中的特殊字符转义，并计及连接的当前字符集，因此可以安全用于 mysql_query()。

注: mysql_real_escape_string() 并不转义 % 和 _。