配列のサニタイズ

Question

私は動的に生成されるフォームを持っています。エンドユーザーは従業員の詳細をデータベースに送信できます。配列$ fnameにはすべてのファーストネームが含まれ、$ lnameにはすべてのファストネームが含まれます。次いで、アレイをそのようにMySQLのに挿入されています。私たちは例えば、クエリが失敗する可能MC'Mahon、単一引用符のような危険な文字を持つまで

$query = "INSERT INTO workers (date_added, department,fname, lname, rank) 
    VALUES "; 
    $fname = count(fname); 
    for($i=0; $i<$employee_count; $i++) { 
    $query .= "(NOW(),'$department','{$fname[$i]}','{$lname[$i]}','{$rank[$i]}'),\n"; 
    } 

これは素晴らしいに動作します。これは配列なので、mysqli_real_escape_string（）のような多くの通常の関数を使うことはできません。 配列を消毒する、つまり危険な文字をエスケープする方法はありますか？それで、各配列をMySQLに入力された文字列に分割するループの前に各配列を消毒しますか？

Answer 1

forループの前にarray_mapを使用できます。この関数は、配列の各値にコールバックを適用します。この場合、コールバックはmysqli_real_escape_stringになります。

$fname = array_map('mysqli_real_escape_string', $fname); 
$lname = array_map('mysqli_real_escape_string', $lname); 
$rank = array_map('mysqli_real_escape_string', $rank); 

下のコメントに基づいて更新：手続きモードでmysqli_real_escape_stringを使用するには

、あなたはカスタム関数を作成する必要がありますので、「リンク」を渡す必要があります。

function array_map_callback($a) 
{ 
    global $dbc; 

    return mysqli_real_escape_string($dbc, $a); 
} 

$fname = array_map('array_map_callback', $fname); 
$lname = array_map('array_map_callback', $lname); 
$rank = array_map('array_map_callback', $rank);