php - mysql_real_escape_string() 没有转义任何东西

Question

1. 我是否需要在我的 INSERT 和 SELECT FROM 语句中使用真正的转义？

2. 为什么我在以下示例中使用的语法不起作用(这只是我尝试过的众多方法之一)？

   //insert user input for word 1
   $sql = "INSERT INTO test (Word1, Word2, Word3, Word4, Word5)
   VALUES('$Word1','$Word2','$Word3','$Word4','$Word5')",
   mysql_real_escape_string($Word1),
   mysql_real_escape_string($Word2),
   mysql_real_escape_string($Word3),
   mysql_real_escape_string($Word4),
   mysql_real_escape_string($Word5);
   if(!mysql_query($sql,$con))
   {
     die('Error: ' . mysql_error());
   }
   

Answer 1

看起来您正在尝试使用 sprintf() ，要正确地做到这一点，您需要稍微重新格式化您的代码:

$sql = sprintf("INSERT INTO test (Word1, Word2, Word3, Word4, Word5)
VALUES('%s','%s','%s','%s','%s')",
mysql_real_escape_string($Word1),
mysql_real_escape_string($Word2),
mysql_real_escape_string($Word3),
mysql_real_escape_string($Word4),
mysql_real_escape_string($Word5)
);