php - 在 PHP/mySQL 查询中转义连字符

Question

以下行会引发错误:

$query = "INSERT INTO mail_senders(mailAddress) VALUES ('$_POST[sender-email]')";

问题是连字符“-”

我可能很容易将“-”更改为“_”，但我想知道是否可以转义该字符以供将来引用。

提前致谢

Answer 1

要防止 SQL 注入(inject)，您应该转义您的输入。然后使用 sprintf 提高可读性，并使用引号作为数组的索引。如果您不使用引号，PHP 会将 sender-email 视为未定义常量，并假定您实际上指的是字符串“sender-email”。如果在某个时候您定义了发件人电子邮件，您的代码可能会中断。

$query = sprintf("INSERT INTO mail_senders(mailAddress) VALUES ('%s')", mysql_real_escape_string($_POST["sender-email"]));