php - 了解 PHP 中的输入转义

Question

一直让我感到困惑的一件事是输入转义以及您是否受到保护免受 SQL 注入(inject)等攻击。

假设我有一个使用 HTTP POST 将数据发送到 PHP 文件的表单。我在输入字段中键入以下内容并提交表单:

"Hello", said Jimmy O'Toole.

如果您在接收此 POST 数据的 PHP 页面上打印/回显输入，结果如下:

\"Hello\", said Jimmy O\'Toole.

这是令人困惑的地方。如果我将这个输入字符串放入 (My)SQL 并执行它，它将很好地进入数据库(因为引号被转义)，但这会停止 SQL 注入(inject)吗？

如果我获取输入字符串并调用类似 mysqli real_escape_string 的函数在上面，结果是这样的:

\\"Hello\\", said Jimmy O\\'Toole.

所以当它通过 (My)SQL 进入数据库时​​，它最终是这样的:

\"Hello\", said Jimmy O\'Toole.

这显然有太多的斜杠。

因此，如果输入通过 HTTP POST 转义，您是否必须再次转义以使其对 (My)SQL 安全？还是我在这里没有看到明显的东西？

在此先感谢您的帮助。

Answer 1

啊，奇迹magic quotes .它正在从您的 POST 表单中进行那些不必要的转义。您应该禁用(或中和)它们，这样您的许多头痛就会消失。

这是该主题的示例文章:http://www.sitepoint.com/blogs/2005/03/02/magic-quotes-headaches/

回顾:禁用魔术引号，使用 real_escape_string()。