mysql_real_escape_string이 모든 유형의 문자를 이스케이프 처리하지 못합니다. "

Question

이상한 것으로 알려 졌는데 mysql_real_escape_string 기능이 있습니다. “ 또는 ”을 이스케이프 처리하지 않습니다. 예를 들어 “TEST”은 \“TEST\”으로 변환되지 않습니다.

기능은 (자세히 보면 당신은 다른 참조) "와 함께 잘 작동

이 문제를 해결하는 방법에 대해 어떤 생각, 차라리 처음부터이 기능을 쓸 수 없습니다. 더 이상 사용되지 않습니다. 대안이 있습니까?

수정 : 답변 해 주셔서 감사합니다. 명확하게하려면이 문자열을 삽입하려고합니다. "내가 좋아하는 것"카탈로그 \ r \ n을 DB에 삽입하고 어떤 이유로 작동하지 않습니다. 모든 다른 문자열에 대해 잘 작동하며 오류 메시지가 나타나지 않습니다, 그것은 단지 DB에 나타나지 않습니다. 그래서 나는 "과 관련이있을 것으로 생각했습니다.

나에게 쉽게 가라!

EDIT2

 $interestTable = "5431591 1 Things I Like” <br>"; 

//problem lies here 
     $count = 0; 
     $interestTable = preg_replace_callback('/<br>/', function($match) use($tagName, &$count) { 
      return $tagName[$count++][0] . ' ' . PHP_EOL; 
     }, $interestTable); 


    //$interestTable = "5431591 1 Things I Like” catalog \r\n" after format 

     $interestTable = mysql_real_escape_string($interestTable); 

     echo $interestTable; 


     mysql_query("INSERT INTO $tbl_name(userID,storyID,rank, storyType, interestTable)VALUES('$userID','$storyID','$rank','$storyType','$interestTable')", $dbh1); 

EDIT3 내가 잘못하지 않았다, 나는에서 문자열을 변경 것 I 좋아요 "카탈로그 \ r에 \ n을것 I AA 카탈로그 \ r에 \ n을에 및 그것은 효과가 있었다. 왜 이런 일이 일어나는지 전혀 모르겠다. 어쩌면 문자열로 변환 한 후 인코딩이 엉망이 될지 모르지만 확실하지 않다. "을 문자열에서 제거한 후에 모든 것이 올바르게 작동 함을 알 수 있습니다.

Answer 1

내가 생각하기에 그것은 문제가되는 것으로 드러났습니다.

내 문자열에 utf8_encode (http://php.net/manual/en/function.utf8-encode.php)을 사용하면 모든 것이 정상적으로 작동합니다.

도움 주셔서 감사합니다 (특히 다항식).

Answer 2

곱슬 따옴표는 MySQL에 특별한 의미가 없으므로 이스케이프 할 필요가 없습니다.

Answer 3

"똑똑한"따옴표가 MySQL 엔진에 의해 따옴표로 인식되지 않기 때문에 주입 공격의 위험이 전혀 없습니다.

Answer 4

“ 또는 ”을 탈출 할 필요가 없습니다. 고칠 것이 없습니다.

Answer 5

mysql_ 기능은 더 이상 유지되지 않습니다 및 당신은 그러나 “ 또는 ”을 탈출 할 필요가 없습니다

PHP 5.5.0의로 사용되지 않습니다. MySQL에서는 따옴표로 인식하지 않습니다.

MySQL 데이터베이스에 연결할 때 PDO 또는 MySQLi 확장을 사용하는 것이 좋습니다.

Answer 6

넵. 안전을위한 블랙 리스팅 메커니즘에 의존하지 마십시오. 그것은 깨진, 그리고 몇 가지 흥미로운 SQL 주입 될 수 있습니다 :

$query = "SELECT id, title, body FROM posts WHERE id = " . mysql_real_escape_string($_GET['id']); 

이 여전히 주입 할 수 있습니다 결과

1 OR 1=1 

:

SELECT id, title, body FROM posts WHERE id = 1 OR 1=1 

모든 결과가 반환됩니다. 이것이 나쁘다고 확신하지 않습니까? 승인...

1 OR 1=1 UNION SELECT id, username, password FROM users 

웁스!

왜 주사 할 수 있습니까? 개발자가 숫자 ID를 인용하는 것을 잊어 버렸습니다. 이 실수를하는 경우 더 나은 해결책을 찾아야합니다.

---

문자열 연결을 사용하지 말고, 더 이상 사용되지 않는 mysql_ 함수를 사용하지 말고 내용이 쿼리 언어와 명시 적으로 분리되어있는 매개 변수가있는 쿼리로 MySQLi 또는 PDO로 이동합니다.