PHP Lang
  1. PHP Lang
  3. Зачем использовать mysql_real_escape_string, не помешает ли все это предотвратить?
Intereting Posts
Длительный опрос в чате Laravel: почему div не обновляется? Десятичный тип в php PHP serialize / unserialize как метод в Objective-C Как предотвратить встраивание моей веб-страницы в iframe? HTTP_REFERER пуст при перенаправлении с помощью компонента Auth Инструментальная панель инструментов Heroku и LD_LIBRARY_PATH Проблемы UTF-8 с tinymce? как обновить одно или несколько полей, игнорируя пустые поля в базу данных mysql? Yii добавьте фильтр в виртуальный атрибут в CGridView и сделайте его сортируемым Внедрить процесс оплаты с помощью Quickbook (Intuit Payment) Как можно проверить, существует ли удаленный файл с помощью PHP? Передача javascript в файл .txt с PHP Альтернативный для array_column () как сделать символ «&» внутри значения в URL? Как передать результат mysql как jSON через ajax

Зачем использовать mysql_real_escape_string, не помешает ли все это предотвратить?

Я просматривал документы и натыкался на mysql_real_escape_string (), и я не понимаю, почему он полезен, когда вы можете просто addlashes (). Может ли кто-нибудь показать мне сценарий, почему это полезно?

Мне также интересно, почему для этого требуется соединение с базой данных … это кажется большим количеством накладных расходов.

Solutions Collecting From Web of "Зачем использовать mysql_real_escape_string, не помешает ли все это предотвратить?"

Об этом есть замечательная статья. И это обсуждение также указывает на плюсы и минусы каждого решения.

addslashes () был из разработчиков PHP, тогда как mysql_real_escape_string использует базовый MySQL C ++ API (т. е. от разработчиков MySQL). mysql_real_escape_string экранирует символы EOF, кавычки, обратные косые черты, возврат каретки, нули и линейные фиды. Существует также аспект шашлыка.

Nether mysql_real_escape_string () или addslashes () предотвращает все (что касается xss или даже xsrf?), И, что самое главное, они предотвращают все инъекции SQL.

Например, этот код уязвим для SQL-инъекции: 

mysql_query("select * from user where id=".mysql_real_escape_string($_GET[id]));

Exploit: 

 http://localhost/test.php?id=1 or sleep(50)

патч: 

 mysql_query("select * from user where id='".mysql_real_escape_string($_GET[id])."'");

Используйте параметризованные запросы с помощью ADODB или PDO, это единственная защита от инъекций с помощью bullet sql.