PHPのmysqli_real_escape_stringは（）関数内で動作していない

Question

私は次のように私のデータベースにログエントリを追加する機能を持っている：

function doLog($conn, $category, $result, $details){ 
    $category = mysqli_real_escape_string($conn, $category); 
    $result = mysqli_real_escape_string($conn, $result); 
    $details = mysqli_real_escape_string($conn, $details); 

    mysqli_query($conn, "INSERT INTO log (category, result, details) VALUES('$category', '$result', '$details')"); 
    return $details; //for debug 
} 

echo doLog2($conn, "Test", "Test", "A 'test' entry"); //echo is for debug 

A 'テスト' エントリがA \ 'テストとしてエコー/返されます\ 'エントリが、スラッシュなしでデータベースに挿入されます。

これはどのようにすることができますか？

Answer 1

これは正しく動作しています。バックスラッシュは、SQLクエリの引用符をエスケープして、引用符がそのまま挿入されるようにします。 またには、エスケープ文字\を挿入しないでください。あなたが二回エスケープを適用した場合

、あなたがこのようなエスケープ引用符が続くエスケープバックスラッシュで終わるだろう：データベースに格納される何

A \\\'test\\\' entry 

は次のようになります。

A \'test\' entry 

パラメータ化された文を使用すると、これははるかに簡単です。引用やエスケープはしないでください。

function doLog($conn, $category, $result, $details){ 
    $sql = "INSERT INTO log (category, result, details) VALUES (?, ?, ?)"; 
    $stmt = mysqli_prepare($conn, $sql); 
    mysqli_stmt_bind_param($stmt, "sss", $category, $result, $details); 
    mysqli_stmt_execute($stmt); 

    return $details; //for debug 
}