php - 如何将带引号的字符串存储到 sql 数据库中？

Question

我有一个网站，用户输入了一个标题。我希望标题能够使用任何标点符号。我的问题是我有一个疑问:

"INSERT INTO table(title, body) VALUES ('$title','$body')";

其中 $title 和 $body 是 GET 变量。当我在标题中加上引号时会发生什么，它就像它结束字符串并创建无效的 sql 查询一样。说我有

$title = "I'm entering a title";
"INSERT INTO table(title, body) VALUES ('$title','$body')";
//"INSERT INTO table(title, body) VALUES ('I'm entering a title','$body')";

结束字符串。我试过使用所有双引号和转义字符，但没有。有人知道解决方案吗？

Answer 1

您的查询存在 SQL 注入(inject) 漏洞，但使用的是 PHP 的 PDO 或 MySQLi 帮你解决那个问题(还允许你在数据库中插入单引号)，请阅读下面的文章

• How can I prevent SQL injection in PHP?