アポストロフィの問題

Question

MySQLデータベースに入力する一部のフィールドを送信するスクリプトがありますが、これを送信すると正常に処理されますが、フィールドの1つにアポストロフィが含まれているとデータベースに挿入されることはありません。これを動作させるには何が変更できますか？

if ($_POST) { 
$name = trim($_POST['your_name']); 
$email = trim($_POST['your_email']); 
$answers = $_POST['answers']; 
$i = 0; 
foreach ($answers as $a) { 
    if (trim($a)) 
     $i++; 
} 

if ($name && $email && $i >= 40) { 
    $array = array(); 
    $q = mysql_query("select * from fields"); 
    while($f = mysql_fetch_array($q)) 
     $array[$f['label']] = $answers[$f['ID']]; 

    $array = serialize($array); 
    $time = time(); 
    $ip = $_SERVER['REMOTE_ADDR']; 
    $token = md5($time); 

    $result = mysql_query("insert into data (submit_name, submit_email, submit_data, submit_confirm, submit_time, submit_ip, submit_token) 
     values ('$name', '$email', '$array', '0', '$time', '$ip', '$token')"); 

Answer 1

mysql_real_escape_string()を使用してください。これはアポストロフィの問題を修正し、少なくとも部分的にSQLインジェクション攻撃を回避するためです。 PHPの組み込みPDOライブラリを手に入れたくない場合は、DBAL（Database Abstraction Layer）を検討してください。 ADODBがその例です。

Answer 2

escape characters with special meaning in MySQL in your dataが必要です。

あなたのコードを改善するために迅速かつ汚いの方法は、SQLのあなたの文字列にそれらを挿入する前mysql_real_escape_stringを通じて、すべての文字列を渡すことであろう。

より良いアプローチは、mysql_queryからbound parameters (preferably with prepared statements)の使用を可能にするものに切り替えることです。