php - 寻求有关为 MySQL 查询转义数据的帮助

Question

请不要向我发送引用 mysql_real_escape_string 作为唯一响应的 php.net 链接。我已通读该页面，虽然我了解一般概念，但根据我的 INSERT 语句当前的构建方式，我遇到了一些麻烦。

今天，我正在使用以下内容:

$sql = "INSERT INTO tablename VALUES ('', 
                                      '$_SESSION['Member1FirstName'], 
                                      '$_SESSION['Member1LastName'], 
                                      '$_SESSION['Member1ID'], 
                                      '$_SESSION['Member2FirstName'], 
                                      '$_SESSION['Member2LastName'], 
                                      '$_SESSION['Member2ID'] ....)

并且该列表继续包含 20 多个成员，并输入了一些其他值。示例中的大多数人似乎已经将所有数据存储在一个数组中。

在我的网站上，我接受表单输入，action=""设置为 self，进行 php 验证，如果验证通过，数据将存储到第 2 页的 SESSION 变量中，然后重定向到流程中的下一页(第3)(整个过程约8-10页)。

Answer 1

你似乎已经知道你应该使用 mysql_real_escape_string但我猜你不知道如何使用。您需要为插入到 SQL 中的每个用户提供的字符串应用它。以下示例应阐明这一点:

$sql = "INSERT INTO tablename VALUES ('', '" .
    mysql_real_escape_string($_SESSION['Member1FirstName']) . "', '" .
    mysql_real_escape_string($_SESSION['Member1LastName']) . "', '" .
    etc..

或者查看 prepared statements并绑定(bind)参数以获得更简单(和更快)的解决方案。