MySQLとPHPエスケープバックスラッシュ

Question

私は、バックスラッシュを含む文字列である定数を持っています\。

問題は、MySQLが期待した動作ではないこの文字をエスケープしているようです。ここで

コードです：

const METHOD_TYPE_CREDITCARD = "Braintree\CreditCard"; 

$sql = "SELECT transaction_id AS id, 
    CASE 
    WHEN source_type = '0' THEN '".PaymentGateway::METHOD_TYPE_CREDITCARD."' 
    END AS source 
FROM transactions WHERE invoice_id = :id" 

それは確かに適切にクエリを実行しますが\をエスケープします。出力は次のようになります。

[id] => myx0kpe8 
[source] => BraintreeCreditCard 

何を試してみましたか？同じ結果を

const METHOD_TYPE_CREDITCARD = "Braintree\\CreditCard"; 

Answer 1

あなたが行ったことは、自己作成のSQLインジェクションです。

既にコメントされているように、文字列連結の代わりにprepared statements（PDOまたは同等のものはmysqli）の形式でパラメータを使用する必要があります。

$stmt = $dbh->prepare("SELECT transaction_id AS id, 
    CASE 
    WHEN source_type = '0' THEN ':creditcard' 
    END AS source 
FROM transactions WHERE invoice_id = :id"); 
$stmt->bindParam(':creditcard', PaymentGateway::METHOD_TYPE_CREDITCARD); 

セキュリティのために、常にパラメータを使用する必要があります。最近ではSql Injectionのためにそれを使用しないのは難しいです。