perl DBクエリでエスケープすると

Question

私はDB内のいくつかのレコードを操作し、その値を別のテーブルに書き込む必要があります。これらの値の中には、文字列に '&'という文字列が含まれています（「& You」など）。これらの値をすべて見つけ出し、&の前に\を置くのではなく、どのようにしてこれらの値を&で窒息するテーブルに挿入できますか？

Answer 1

プレースホルダを使用します。 '$who'をSQL文に入れるのではなく、？代わりに$ whoをバインドするか、または適切な引数として$ whoを実行します。

my $sth = $dbh->prepare_cached('INSERT INTO FOO (WHO) VALUES (?)'); 
$sth->bind_param(1, $who); 
my $rc = $sth->execute(); 

これはあなた自身で行うよりも安全で速いです。 （DBIには「見積もり」メソッドがありますが、これはそれより優れています）

Answer 2

これは間違いなく再発明する必要のないホイールです。 DBIを使用している場合は、入力をエスケープしないでください。プレースホルダを使用します。

例：

my $string = "database 'text' with &special& %characters%"; 
my $sth = $dbh->prepare("UPDATE some_table SET some_column=? 
         WHERE some_other_column=42"); 
$sth->execute($string); 

DBD::Oracle

モジュール（および他のすべてのDBD::xxxxxモジュール）広範なテストと実世界の使用を受けています。テキストをデータベースに挿入する方法を心配しましょう。