php - 无法使用 php 在数据库中插入带有 ' 符号的文本

Question

这个问题已经有答案了:

How can I prevent SQL injection in PHP? (27 个回答)

已关闭 6 年前。

所以我遇到了这个问题，我似乎无法将包含以下字符的文本插入数据库:'(例如:It's)。我以前遇到过这个问题，我只是删除了符号，但现在我真的需要一个解决方案，并且在整个网络或堆栈溢出的任何地方我似乎找不到一个像样且清晰的答案。

这是我的数据的显示方式:

HTML

<textarea name="text_from_form">
      This is the kind of stuff I need and It's awesome (user input example)
</textarea>

<小时/>

PHP

<?php

  $my_text = $_POST["text_from_form"};
  $my_text_new = htmlentities($my_text);

  $sql = "INSERT INTO tableName (text)
  VALUES ('$my_text_new')";
?>

错误

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's awesome ')' at line 2

提前感谢您的帮助!

Answer 1

htmlentities() 函数不会转义默认标志 ​​(ENT_COMPACT) 中的单引号 '，请使用 htmlentities($ text, ENT_QUOTES) 或函数 mysql_real_escape_string() 或 mysqli_real_escape_string()，具体取决于您使用的库。