mysql使用addslashes()

Question

可能重复:
mysql_real_escape_string()做了什么,addslashes()没有？

如果你试图阻止sql注入,你要做的第一件事就是使用mysql_real_escape_string.是否可以使用addslashes()注入数据库？

Answer 1

addslashes是粗略的等价物str_replace($str, "'", "\\'").您可以使用任何数量的unicode序列轻松地绕过它,这些序列'在mysql 中评估,但看起来完全不同addslashes().

Mysql_real_escape_String()另一方面,使用实际的内部mysql转义函数,该函数确切地知道要查找和修复的内容,以使其对mysql"安全".什么适用于mysql可能不适用于另一个数据库,因为每个数据库的转义语义和要求略有不同,但如果你正在使用mysql,那么"真正的转义字符串"是要走的路.