Question

這是正確的方式來逃脫一個字符串，以防萬一，或者我可以插入像這樣的字符串沒有額外的逃脫？

$filenamefordb = preg_replace('/[^A-Za-z0-9а-яА-Я_\.\-]/u', '', $filenamefordb); 
$query = "INSERT INTO file SET filename='$filenamefordb"; 

我沒有在另一個地方使用mysqli_escape，因爲我還需要名字不帶任何引號

Answer 1

你爲什麼不使用PDO轉義字符串？

<?php 
    $conn = new PDO('sqlite:/home/lynn/music.sql3'); 

    /* Complex string */ 
    $string = "Co'mpl''ex \"st'\"ring"; 
    print "Unquoted string: $string\n"; 
    print "Quoted string: " . $conn->quote($string) . "\n"; 
?> 

這將輸出

Unquoted string: Co'mpl''ex "st'"ring 
Quoted string: 'Co''mpl''''ex "st''"ring' 

參考： http://php.net/manual/it/pdo.quote.php

Answer 2

你可以用一個通用的PHP函數逃避它：

$filenamefordb = mysql_escape_string ($filenamefordb); 
$query = "INSERT INTO file SET filename='$filenamefordb";