php - mysql_real_escape_string 返回空白的奇怪问题

Question

我正在创建一个magento模块，并且在 Controller 中我试图生成一个查询。例如:"INSERT INTO ". $resource->getTableName('mymod/mymodtable')." SET pid ='".mysql_real_escape_string($pp['id'])."'";在我的本地设置上，这工作正常，我得到了预期的 id在pid 。但一旦我将其上传到我的服务器，该部分就变成空白。我知道数据库连接存在，因为它插入了一个空白的新行 pid在服务器上。我已经尝试过var_dump它确实证明了$pp['id']有值，但mysql_real_escape_string返回空白。我也尝试过mysqli_real_escape_string ，但什么也没有。有什么想法吗？

Answer 1

您使用哪个数据库接口(interface)？ mysql_real_escape_string 应该仅与 mysql_query 一起使用，如果可以避免的话，就不应该使用该接口(interface)。如果没有有效的连接，它可能无法正常工作。

当使用mysqli时，您应该使用参数化查询和bind_param将用户数据添加到您的查询中。手动调用转义函数通常是一个错误。

如果您使用 Magento，您可能需要查看 how to escape values使用 Magento 数据库层。