在逃避一個數組變量和分配逃脫值原始變量值動態

Question

我通常只是插入到我的數據庫之前使用mysql_real_escape_string上的每個變量，因此，例如：

$first_name = mysql_real_escape_string($first_name); // Bill 
    $last_name = mysql_real_escape_string($last_name); // O'Rielly 
    $email  = mysql_real_escape_string($email);  // name@domain.com 

    $insert = mysql_query(" 
        INSERT INTO `users` (first_name, last_name, email) 
        VALUES ('$first_name', '$last_name', '$email') 
       ") or die(mysql_error()); 

但在某些形式的我能有可能我想要轉義20個不同的變量，所以我希望有一種方法可以使用數組，通過函數運行它來轉義每個數組。然後使原始變量（$first_name，$last_name,$email）具有數組中已轉義字符串的值。我想出了以下內容，但這是我所得到的。

$form_array = array($first_name, $last_name, $email); 

    print_r($form_array); 
    echo("<br />".$last_name."<br />"); 

    function cleanInput($array) { 
     return array_map('mysql_real_escape_string', $array); 
    } 

    $clean_array = cleanInput($form_array); 

    print_r($clean_array); 
    echo("<br />".$clean_array[1]."<br />"); 

，它輸出以下內容：

Array ([0] => Bill [1] => O'Rielly [2] => name@domain.com) 
    O'Rielly 
    Array ([0] => Bill [1] => O\'Rielly [2] => name@domain.com) 
    O\'Rielly 

所以，我們可以看到，它的逃逸正確，但我和整個製作$first_name難倒有$clean_array[0]值，$last_name具有的價值$clean_array[1]等

我當然知道我可以只寫：

$first_name = $clean_array[0]; 
    $last_name = $clean_array[1]; 

但它有點讓這個數組/函數根本沒有意義，因爲我可能只是分別將每個變量/字符串轉義出來，我總是這樣做。所以我希望有一種方法可以在函數中做某種循環，根據數組中的內容動態地執行此操作。

因爲當談到在未來做驗證我只能

• 全部分配$ _ POST數據到變量
• 把它們放在變量數組
• 運行通過功能的陣列和所有原始的$ _POST變量現在都有函數的轉義值
• 使用開頭提到的插入方法，使用變量的原始名稱$first_name，$last_name等。

相反則：

$insert = mysql_query(" 
        INSERT INTO `users` (first_name, last_name, email) 
        VALUES ('$clean_array[0]', '$clean_array[1]', '$clean_array[2]') 
       ") or die(mysql_error()); 

這可能嗎？

更新

從hakre的有關compact和extract功能後，我現在已經想出了以下內容：

$array = compact(array("first_name", "last_name", "email")); 
    echo("<strong>Before:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email."<br /><br />"); 

    extract(array_map('mysql_real_escape_string', $array), EXTR_OVERWRITE); 
    echo("<strong>After:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email.""); 

，它輸出以下細節如何，我想他們：

之前：

名字：

比爾

姓：O'Rielly

電子郵件：name@domain.com

後：

名字：

比爾

姓： O'Rielly

Email：name@domain.com

我試過把extract放到一個函數中，但是它不起作用？

function cleanInput($array) { 

     $clean_array = extract(array_map('mysql_real_escape_string', $array), EXTR_OVERWRITE); 
     return $clean_array; 

    } 

    $array = compact(array("first_name", "last_name", "email")); 
    echo("<strong>Before:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email."<br /><br />"); 

    cleanInput($array); 
    echo("<strong>After:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email.""); 

我敢肯定，我一定要退回提取功能，但我已經嘗試了一些不同的東西，它要麼不給任何輸出或$last_name只是打印轉義值。

Answer 1

您可能會感興趣於compact和extract。兩者都允許您將變量作爲數組處理。陣列很舒服，因爲您可以將單個動作重複到所有值。

例子：

$vars = array('first_name', 'last_name', 'email'); 

$first_name = $last_name = $email = 'just some init value'; 

$array = compact($vars); 

foreach($array as &$value) 
    $value = str_shuffle($value); 
unset($value); 

extract($array); 

printf("First: %s; Last: %s; Email: %s", $first_name, $last_name, $email); 

輸出：

First: sjivus enta metluoi; Last: i evounes tliuat smj; Email: tleetnumav siuijo s 

Answer 2

function dbSet($fields, $source = array()) { 
    $set = ''; 
    if (!$source) $source = &$_POST; 

    foreach ($fields as $field) { 
    if (isset($source[$field])) { 
     $set.="`$field`='".mysql_real_escape_string($source[$field])."', "; 
    } 
    } 
    return substr($set, 0, -2); 
} 

這段代碼被稱爲函數。儘管只有極少數的PHP用戶對它們有所瞭解，但功能是非常非常強大的。它可以使您的代碼簡潔易讀，併爲您節省數小時的打字時間。

所以，在你的配置文件中這個功能，你必須鍵入低至

$fields = explode(" ","name surname lastname address zip fax phone"); 
$query = "INSERT INTO table SET ".dbSet($fields); 

注意$的Fileds陣列。我希望這是不言而喻的，雖然

那麼，經過一些澄清的意見，我可以延長我的答案。

擺脫不斷逃跑的最佳方式是擺脫它。要麼創建你自己的，要麼使用一些現有的數據庫抽象庫，它將爲你做所有的轉義。

說一個代碼來檢查現有用戶名應該看起來像

$username_exists=$db->getOne("SELECT id FROM users WHERE name=?",$_POST['name']); 
if ($username_exists) // do stuff. 

其中，$ _ POST [「名」]將被正確格式化，或者通過利用本地準備的語句或適當的轉義/鑄造/白名單。

所以，根本不需要關心手動轉義。
這也是我首先發布的函數的確切點。