這會允許mysql_real_escape_string全局工作嗎？

Question

$_POST = mysql_real_escape_string($_POST); 

通過執行此語句，每個帖子值現在是否通過mysql_real_escape_string轉義？

Answer 1

不，那根本不起作用：$_POST是一個數組：mysql_real_escape_string需要一個字符串作爲它的第一個參數。你可以，但是，實現你想要的與array_map：

$_POST = array_map('mysql_real_escape_string', $_POST); 

或者array_walk_recursive爲array_map在陣列後的值不起作用：

array_walk_recursive($_POST, function(&$v, $k) {$v = mysql_real_escape_string($v);}); 

更好，但是，這是使用paramaterised查詢：此是迄今爲止避免SQL注入的最安全的方法。上述選項不僅不需要轉義（例如，不需要插入數據庫的$_POST數組的成員），而且還使得難以在其他上下文中使用數據，例如，以某種方式將它們返回給瀏覽器。

Answer 2

由於$ _POST是一個數組，這會給你一個錯誤。

鏈接：http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 3

沒有，但你可以使用array_walk()^Docs或array_walk_recursive()^Docs實現這一目標，作爲mysql_real_escape_string()^Docs需要一個字符串（去圖...）作爲輸入，而你傳遞一個數組來代替。 有了這個，你通過每個數組元素相同的回調函數：

array_walk_recursive($_POST, 'escape'); 

escape($k,$v) 
{ 
return mysql_real_escape_string($v); 
} 

但最好相應對待每一個值，爲前。將INT轉換爲INT等，或者更好，use parametrized queries。

Answer 4

$ escapedPost = array_map（array（$ this，'recursive_escape'），$ _POST）;

/** 
* recursively escape an array containing strings and/or arrays 
*/ 
function recursive_escape($value) { 
    if (is_array($value)) { 
     array_map(array($this, 'recursive_escape'), $value); 
    } else { 
     $value = mysql_real_escape_string($value); 
    } 
    return $value; 
}