mysqliオブジェクト指向の実エスケープ文字列

Question

私はMysqliとPHPを初めて使い、手続き型ではなくオブジェクト指向のコードを使いたいと思っています。私はmysqli_real_escape_stringをオブジェクト指向の方法に変換するのには苦労しています。以下のコードでは、オブジェクト指向の使い方がわからず、Googleの検索では私が探している回答を提供していないので、手順コードを使用しました。

$sql = "SELECT email FROM `users` WHERE email = '".mysqli_real_escape_string($link, $_POST['email'])."'LIMIT 1"; 

     $result = $link->query($sql); 

    if($result->num_rows > 0) { 

     echo "The email " .$_POST['email']. " is already taken"; 

    } else { 

     echo $_POST['email']; 
    } 


} 

は、現実の世界では、私は、入力フィールドの検証のいくつかの並べ替えを持っているだろうが、自分のために目的を学ぶために、私は何の検証を持っていません。つまり、誰かが登録ページに行くなら、SQLインジェクションを使うことができます。私は電子メールアドレスが存在するかどうかをチェックするコード内でそれを防止しようとしています。私が読んだところでは、mysqli_real_escape_stringはSQLインジェクションを防ぐために使われ、htmlspecialcharsのようなものを使うとXSSを防ぐことができます。私はこの特定の例でSQLインジェクションを防止しようとしています。

Answer 1

OOの場合は$link->real_escape_string($_POST['email'])を使用してください。あなたの例では、mysqli_reql_escape_string手順の方法を使用します。

私は、次を参照してください。

<script>alert("Here is an alert");</script>

の代わりに、私はこれを正しく行っていた場合、私が見てする必要があるすべての堰& ALTのもの。第二部のために

、私はあなたがreal_escape_stringとhtml_special_charsを取り違えていと思います。
mysqli_real_escape_stringエンティティを変換しない、opositeをhtml_special_charsに変換します。

SQLではエンティティに特殊文字を変換する必要はありません。 がmysqli_real_escape_stringにエンコードされたエンティティを返すようにすることはできません。

短いと、には、mysqlクエリ用にエンコードされたエンティティが必要ありません。クエリを「害する」可能性のあるmysql特殊文字のみ

Answer 2

mysqli_real_escape_stringは、データベースクエリでユーザースペースから安全に文字列を使用することのみを目的としたものです（SQLインジェクション攻撃と呼ばれます）。あなたのケースでは、電子メール（そのjsコード）がDBに正しく挿入されます。

しかし、HTMLサイト上のユーザー空間のデータを表示することができます。これは、クロスサイトスクリプティングを防ぐために別の修正が必要です。 https://secure.php.net/manual/de/function.htmlentities.php

TL; DR：

mysqli_real_escape_string（またはそのOOPに相当）が\'

になってきて'ようなデータベースクエリで問題を起こす文字をエスケープは対応するhtmlエンティティに文字を変更します。 <は<

最新の質問

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 関連する問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.