MySQLのリアルエスケープ文字列

Question

addslashesとmysql_real_escape_stringを使用して、PHPログインへの入力をサニタイズしようとしていました。 addslashesを使用しますが、mysql_real_escape_stringは使用しません。

は、ここで私が正常にログインできるようにするものの例です：

$user = addslashes($_POST['user']);<br/> 
$password = addslashes($_POST['password']); 

そして、これはしません：

$user = mysql_real_escape_string($_POST['user']);<br/> 
$password = mysql_real_escape_string($_POST['password']); 

また、私の他のフィールドの一部が含まれていアポストロフィ。 addslashesを使用すると、DBのエントリがエスケープされないため、何も返されません。 mysql_real_escape_stringを使ってこれを修正できるかどうか疑問に思っていましたが、どうしたらよいか分かりません。

Answer 1

常にaddslashesの代わりにmysql_real_escape_stringを使用してください。データベースに接続していることを確認してからを実行してください。そうでないとエラーになります。

Answer 2

mysql_real_escape_string（）は％と_をエスケープしません。 LIKE、GRANT、またはREVOKEと組み合わせた場合、これらはMySQLのワイルドカードです。

そして最も重要なことは、ユーザーの入力を信頼しないことです。

セキュリティを強化するには、htmlspecialcharsとstrip_tagsを使用してください。

Answer 3

時々、ユーザは'と入力することがありますが、この記号は別の方法として扱いますが、テーブルに挿入することはできません。この種のエラーを避けるためにMySQLのリアルエスケープ文字列を使用するように制限します。

注：これを実装すると、データベースに接続する必要があります。それ以外は動作しません。