防止SQL注入與PHP

Question

由於我的陳述一樣

"SELECT * FROM `box` WHERE `thing` = '{$variable}' 

我能清理與單純

$variable = str_replace("'","\'",$variable); 
"SELECT * FROM `box` WHERE `thing` = '{$variable}' 

將這項工作？我的主機不支持mysql轉義，我不使用mysqli。

Answer 1

根據什麼類作爲查詢有效的數據類型，通常可以逃脫：

function cleanVar($str){ 
    $str = strip_tags(addslashes($str)); 
    return $str; 
} 

Answer 2

我高度懷疑，您的主機不支持mysql_real_escape_string功能。

$variable = mysql_real_escape_string($variable); 

$sql = "SELECT * FROM `box` WHERE `thing` = '{$variable}'"; 

如果你確實尚未安裝的MySQL，那麼你可以使用此基礎上RDBMS你的下面的轉義功能之一是使用：

pg_escape_string

sqlite_escape_string

db2_escape_string

ingres_escape_string

Answer 3

如果是Postgres的你可以使用pg_escape_string。

Answer 4

討厭重複自己，但是，再一次，試試這個：
PHP Intrusion Detection System

Answer 5

使用parametrized queries（PDO可能是你最好的選擇）。