php - mysql_real_escape_string() 不应该在数据库中留下斜杠吗？

Question

我正在使用 smarty 和 mysql_real_escape_string() 进行用户输入，当我用 ' 或 " 插入一些代码时，并在 phpmyadmin 中查找它显示时没有反斜杠。

当我从数据库中获取记录时，我也没有反斜杠。但是当我只是传递转义字符串而不插入数据库时它是反斜杠的。

它不应该添加斜杠，插入它们然后我会我什么时候输出？还是我遗漏了什么？

Answer 1

你错过了它 - 用反斜杠转义是为了确保查询没有格式错误，例如像这样的东西肯定会破坏并可能冒 SQL 注入(inject)的风险:

insert into table values ('whatever 'this' is')

并且表中不会保存任何内容，而这:

insert into table values ('whatever \'this\' is')

将在表中保存值“无论'this'是什么”。