php - PHP 变量电子邮件地址中带撇号的字符串值，mysql select

Question

我有一个电子邮件地址 mike.o'malley@stack.com 存储在发布的变量中，我想要 mysql 中的 select 语句来验证电子邮件地址的存在并从我的表中检索密码。当我的查询尝试执行时，它卡在撇号处。例如“从 tbl_users WHERE userName = '$email' 中选择密码”；

Answer 1

您应该使用mysql_real_escape_string引用该值。事实上，每次在查询中插入值时都应该使用它，如果不这样做，您不仅会遇到错误，还会出现 SQL Injection .

你应该像这样使用它:

if ( get_magic_quotes_gpc() ) {
    $email = stripslashes($email);
}
$quoted_email = mysql_real_escape_string($email, $db_connection);
$query = "SELECT pwd FROM tbl_users WHERE userName='".$quoted_email."'";

编辑:如果 PHP 启用了魔术引号，则所有超全局值( $_GET、$_POST 等中的值)都用 addslashes 引用。这很糟糕。您应该考虑将其关闭。