query("select * from sc ..."/> query("select * from sc ...">

mysql - 关于php函数addslashes的一些小疑问

WBOY
Release: 2016-06-06 20:20:38
Original
1292 people have browsed it

我把用户通过post发过来的数据"my'name"通过addslashes函数进行过滤,然后存入mysql。
但是当我在php脚本页面执行
$conn = new mysqli('127.0.0.1','root','','book_sc');
$re = $conn->query("select * from sc where title='"."my'name"."'");
var_dump($re->num_rows); //返回是NULL

但是在mysql里执行命令
mysql> select * from sc where title="my'name";
或者
mysql> select * from sc where title="my\'name";
都可以查询到这条数据,那为什么在php脚本页面执行就返回null呢?
还有就是过滤的函数还有strip_tags、htmlspespecialchars分别用于过滤掉html、php代码和转义html代码以保证数据的安全性,那我是不是需要把这3个函数都用上?

回复内容:

我把用户通过post发过来的数据"my'name"通过addslashes函数进行过滤,然后存入mysql。
但是当我在php脚本页面执行
$conn = new mysqli('127.0.0.1','root','','book_sc');
$re = $conn->query("select * from sc where title='"."my'name"."'");
var_dump($re->num_rows); //返回是NULL

但是在mysql里执行命令
mysql> select * from sc where title="my'name";
或者
mysql> select * from sc where title="my\'name";
都可以查询到这条数据,那为什么在php脚本页面执行就返回null呢?
还有就是过滤的函数还有strip_tags、htmlspespecialchars分别用于过滤掉html、php代码和转义html代码以保证数据的安全性,那我是不是需要把这3个函数都用上?

我很奇怪你执行 $re = $conn->query("select * from sc where title='"."my'name"."'");
怎么没有报错? 很明显这sql就有错误。
应该这样 $conn->query("select * from sc where title='my\'name'")

Related labels:
source:php.cn
Statement of this Website
The content of this article is voluntarily contributed by netizens, and the copyright belongs to the original author. This site does not assume corresponding legal responsibility. If you find any content suspected of plagiarism or infringement, please contact admin@php.cn
Popular Tutorials
More>
Latest Downloads
More>
Web Effects
Website Source Code
Website Materials
Front End Template