php - mysqli_real_escape_string 和双引号问题

Question

我有这个代码:

$var = mysqli_real_escape_string($connection,$_POST['var']);
$sql = "UPDATE users SET var = '$var' WHERE id = '$id'";

如果var是aaa就ok，即使var是aa'bbb，但是如果var是sss"ddd - 更新的 var 只是 sss。我知道这是因为 mysql 查询包含 ".

有什么想法吗？

Answer 1

在开始使用 PHP 之前，您必须先学习 HTML 基础知识。
另外，您必须了解两者之间的区别。

所以，不要将不完整的 HTML 归咎于 PHP。
打开页面源代码并查看您的 sss"ddd 声音和安全，但是像这样破坏 HTML

<input value="sss"ddd">

从现在开始，通过 htmlspecialchars()

传递每个表单值