请问有人能告诉我如何将特殊字符插入到MySQL数据库中吗?我写了一个PHP脚本,旨在将一些单词插入到数据库中,但如果单词包含',则无法插入。
使用PHPmyAdmin时,我可以轻松地插入特殊字符,但是通过PHP插入它们时却不起作用。可能是PHP将特殊字符更改为其他内容了吗?如果是这样,是否有方法使它们正确地插入?
请问有人能告诉我如何将特殊字符插入到MySQL数据库中吗?我写了一个PHP脚本,旨在将一些单词插入到数据库中,但如果单词包含',则无法插入。
使用PHPmyAdmin时,我可以轻松地插入特殊字符,但是通过PHP插入它们时却不起作用。可能是PHP将特殊字符更改为其他内容了吗?如果是这样,是否有方法使它们正确地插入?
$insert_data = mysql_real_escape_string($input_data);
假设您将数据存储为$input_data
,则:mysqli_real_escape_string
函数。 - ssergei你正在转义字符吗?试试mysql_real_escape_string()函数,它将处理特殊字符。
您很可能正在转义SQL字符串,类似于:
SELECT * FROM `table` WHERE `column` = 'Here's a syntax error!'
您需要转义引号,如下所示:
SELECT * FROM `table` WHERE `column` = 'Here\'s a syntax error!'
mysql_real_escape_string()
会为您处理此问题。
使用 mysql_real_escape_string
mysql_real_escape_string 是什么呢?它是 PHP 函数库中的一个函数,可以在以下字符前添加反斜杠:\n、\r、\\、\x00、\x1a、' 和 "。重要的是,单引号和双引号都被转义了,因为这些字符最容易打开漏洞。
请了解 SQL 注入。您可以使用此链接作为起点。
请注意,正如其他人指出的那样,mysql_real_escape_string()可以解决这个问题(addslashes也可以),但是出于安全考虑,您应该始终使用mysql_real_escape_string() - 请考虑以下内容:
SELECT * FROM valid_users WHERE username='$user' AND password='$password'
user="admin' OR (user=''"
password="') AND ''='"
SELECT * FROM valid_users
WHERE username='admin' OR (user='' AND password='') AND ''=''
mysql_real_escape_string()
" 对您有用。例如:
$parent_category_name = 男装
在这里考虑SQL查询
$sql_category_name = "SELECT c.*, cd.name, cd.category_id as iid FROM ". DB_PREFIX . "category c LEFT JOIN " . DB_PREFIX . "category_description cd ON (c.category_id = cd.category_id) WHERE cd.name = '" . $this->db->escape($parent_category_name) . "' AND c.parent_id =0 ";
错误:
Static analysis:
1 errors were found during analysis.
Ending quote ' was expected. (near "" at position 198)
SQL query: Documentation
SELECT c.*, cd.name, cd.category_id as iid FROM oc_category c LEFT JOIN oc_category_description cd ON (c.category_id = cd.category_id) WHERE cd.name = 'Men's Clothing' AND c.parent_id =0 LIMIT 0, 25
MySQL said: Documentation
#1064 - You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's Clothing' AND c.parent_id =0 LIMIT 0, 25' at line 1
尝试实现:
$this->db->escape($parent_category_name)
以上方法适用于OpenCart框架。找到您的框架并实施OR在Core PHP中使用mysql_real_escape_string()
这将变成男装,即在我的情况下
$sql_category_name = "SELECT c.*, cd.name, cd.category_id as iid FROM ". DB_PREFIX . "category c LEFT JOIN " . DB_PREFIX . "category_description cd ON (c.category_id = cd.category_id) WHERE cd.name = '" . $this->db->escape($parent_category_name) . "' AND c.parent_id =0 ";
通过实现escape(),您将清楚地了解查询的情况。
SELECT c.*, cd.name, cd.category_id as iid FROM oc_category c LEFT JOIN oc_category_description cd ON (c.category_id = cd.category_id) WHERE cd.name = 'Men\'s Clothing' AND c.parent_id =0
$var = mysql_real_escape_string("data & the base");
$result = mysql_query('SELECT * FROM php_bugs WHERE php_bugs_category like "%' .$var.'%"');
htmlspecialchars函数是最好的解决方案。今天我在搜索如何插入带有特殊字符的字符串时,谷歌给出了很多Stackoverflow列表。但是它们都没有提供解决方案。我在w3schools页面上找到了答案。是的,我可以通过使用这个函数来解决我的问题:
$abc = $POST['xyz'];
$abc = htmlspecialchars($abc);