清理MySQL用户参数

Question

当用户的输入插入MySQL查询时,用户输入中应该替换哪些危险字符？我知道引号,双引号,\ r和\n.还有其他人吗？
_{(我没有选择使用接受参数的智能连接器,因此我必须自己构建查询,这将以多种编程语言实现,包括一些模糊的语言,因此mysql_real_escape_stringPHP中的解决方案无效)}

Answer 1

来自mysql.com docs的mysql_real_escape_string():

from中的字符串被编码为转义的SQL字符串,并考虑了连接的当前字符集.结果放在to中,并附加一个终止空字节.编码的字符是NUL(ASCII 0),"\n","\ r","\","'","""和Control-Z(参见第8.1节"文字值").(严格来说, MySQL只需要反斜杠和用于引用查询中字符串的引号字符进行转义.此函数引用其他字符以使它们更容易在日志文件中读取.)

mysql_real_escape_string()是字符集识别的,因此复制其所有能力(特别是针对多字节攻击问题)并不是一件小事.

来自http://cognifty.com/blog.entry/id=6/addslashes_dont_call_it_a_comeback.html:

AS = addslashes()  
MRES = mysql_real_escape_string()
ACS = addcslashes() //called with "\\\000\n\r'\"\032%_"

Feature                                         AS     MRES    ACS
escapes quote, double quote, and backslash      yes    yes     yes
escapes LIKE modifiers: underscore, percent     no     no      yes
escapes with single quotes instead of backslash no     yes*1   no
character-set aware                             no     yes*2   no
prevents multi-byte attacks                     no     yes*3   no