mysql_real_escape_string（）一重引用符で異なる動作

SQLインジェクションを防止しようとしています。
この目的のために私はmysql_real_escape_string（）を使用します。私のローカルサーバー（phpversion 5.3.2）でmysql_real_escape_string（）一重引用符で異なる動作

：テーブルにNEWSTRING $を挿入

$string="a'b" 
$newstring=mysql_real_escape_string($string);

query("INSERT INTO .. ..field1='$newstring'");

は "A'B" を置きます。
別のサーバー（phpversion 5.2.10）では、 "a \ 'b"をテーブルに入れます。

「a'b」を挿入して注射を避けるにはどうすればよいですか？
他のクエリに影響する可能性があるので、INIファイルとmagic_quotesを変更したくありません。
add_slashesを使用することはできません。スラッシュを削除するための値を取得するためのすべての用途を探す必要があります。

出典

2011-12-08 lvil

しかし、magic_quotesはサーバではオフになっていて、もう一方ではオフになっていますか？ –

magic_quotes_gpcが有効な場合は、まずstripslashes()をデータに適用します。すでにエスケープされたデータに対してこの関数を使用すると、データを2回エスケープします。

if(get_magic_quotes_gpc()) { 
    $newstring = stripslashes($newstring); 
}

出典

2011-12-08 11:01:14

しかし、最高の*ものは、マジック引用符を一切使わないことです。これは過去のことです。 –

彼はサーバーのPHP設定を変更する権利を持っていない場合はどうなりますか？ –

は私のためにうまくいった、今質問は： "これとmysql_real_escape_stringを使うのは安全ですか？" – lvil

最も可能性の高い問題は、あるサーバでmagic_quotesを有効にして、他のサーバでは有効にしないことです。無効magic_quotesのいずれか、またはコードに変更します。

$example = stripslashes($_POST['example']);  //undoes the magic_quotes 
$escaped_string = mysql_real_escape_string($example); //escapes it properly.

あなたが開いていること、接続に応じて、異なる動作しますmysql_real_escape_string 2つの異なるデータベース・サーバ

から2つの接続を持っている場合は可能性が低いシナリオが発生する可能性があります。
複数のサーバーがあり、複数の接続がある場合は、接続ごとに1回エスケープ機能を実行する必要があります。

例

$example = "a'b"; 
$connectionA = mysql_connect('localhost', 'mysql_user', 'mysql_password'); 
$connectionB = mysql_connect('remotehost', 'mysql_user', 'mysql_password'); 
$escapedstringA = mysql_real_escape_string($example, $connectionA); 
$escapedstringB = mysql_real_escape_string($example, $connectionB);

あなたはmysql_real_escape_stringへの呼び出しで接続パラメータを省略した場合、両方のescapedstringsが間違っていた、remotehostのデフォルトのエンコーディングを使用してエスケープされます。

このコードが間違って動作することがあります。

$example = "a'b"; 
$connectionA = mysql_connect('localhost', 'mysql_user', 'mysql_password'); 
$connectionB = mysql_connect('remotehost', 'mysql_user', 'mysql_password'); 
$escapedstringA = mysql_real_escape_string($example); //uses remotehost's encoding 
$escapedstringB = mysql_real_escape_string($example);

出典

2011-12-08 11:00:27 Johan

Wut？ 'a'b'が表の中で' a \ b 'に変わると、mysql_real_escape_string（）とは何の関係もありません。 –

@Pekka、私はあなたが間違ったエンコーディングでエスケープされた値を非常に異なるエンコーディングで再利用している場合、 magic_quotes' – Johan

これはおそらくmysql_real_escape_string()とは何の関係もありませんが、あなたのmagic_quotes設定。

望ましい事はそれが本当に不可能な場合hereは、PHPコード内からマジッククオートを「無効」にする方法の例である、as even the PHP manual itself recommends.

をマジッククオートをオフにすることです。

出典

2011-12-08 11:00:29

これは実際には魔法の引用符です。あなたが行うことができる唯一のことは、魔法のqoutesを検出し、スラッシュを取り除くことです。 Theresのグローバル

あなたがもし条件を使用し,,世界的にそれをしたいいけないし、ストリップがちょうどその上スラッシュ場合は、ここで

http://php.net/manual/en/security.magicquotes.disabling.php