真正的转义字符串和PDO

Question

迁移远离mysql库后我正在使用PDO.我用什么代替旧mysql功能？

我需要转义单引号,以便它们进入我的数据库,我认为可能有更好的方法来处理这个,而不添加(斜)所有字符串的斜杠.有人可以告诉我应该使用的是什么吗？

Answer 1

您应该使用PDO准备

从链接:

对于将使用不同参数值多次发出的语句调用PDO :: prepare()和PDOStatement :: execute(),通过允许驱动程序协商查询计划的客户端和/或服务器端缓存来优化应用程序的性能,元信息,通过消除手动引用参数的需要,有助于防止SQL注入攻击.

Answer 2

PDO提供了一种替代方案,旨在用PDO :: quote()方法替换mysql_escape_string().

以下是PHP网站的摘录:

<?php
    $conn = new PDO('sqlite:/home/lynn/music.sql3');

    /* Simple string */
    $string = 'Nice';
    print "Unquoted string: $string\n";
    print "Quoted string: " . $conn->quote($string) . "\n";
?>

上面的代码将输出:

Unquoted string: Nice
Quoted string: 'Nice'

Answer 3

使用准备好的语句。这些使数据和语法分开，从而消除了转义MySQL数据的需要。参见本教程。