今天在向MysqL数据库中插入带单引号字符串的时候，什么错也没报就是语句执行失败，后来才知道，单引号等要转义，可以使用函数：MysqL_real_escape_string和addslashes函数；
以下做个介绍：往数据库中插入数据之前是要先转义的,在插入数据库.
本文主要介绍的是用MysqL_real_escape_string对用户提交的表单数据进行转义处理和通过addslashes以及MysqL_escape_string这3个类似功能的函数用法区别。
本文很好的说明了addslashes和MysqL_real_escape_string的区别，虽然国内很多PHP coder仍在依靠addslashes防止sql注入，我还是建议大家加强中文防止sql注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。
当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用MysqL_real_escape_string吧。
另外对于PHP手册中get_magic_quotes_gpc的举例：
<?PHP
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST["lastname"]);
} else {
$lastname = $_POST['lastname'];
}
?>
最好对magic_quotes_gpc已经开放的情况下，还是对$_POST['lastname']进行检查一下。
再说下MysqL_real_escape_string和MysqL_escape_string这2个函数的区别：
MysqL_real_escape_string 必须在(PHP 4 >= 4.3.0,PHP 5)的情况下才能使用。否则只能用 MysqL_escape_string ，两者的区别是：
MysqL_real_escape_string 考虑到连接的当前字符集，而MysqL_escape_string 不考虑。
总结一下：
addslashes() 是强行加；
MysqL_real_escape_string() 会判断字符集，但是对PHP版本有要求；
MysqL_escape_string不考虑连接的当前字符集。
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 [email protected] 举报，一经查实，本站将立刻删除。
