Insérer des données en utilisant PHP dans mysql quand il contient un '

Question

J'écris beaucoup d'informations d'un fichier XML dans une base de données.

Tout fonctionne bien jusqu'à ce que je tombe sur un champ avec la version 'dans la description, que l'insertion échoue avec une erreur

Error 

1064:You have an error in your SQL syntax; check the manual that 

correspond à votre serveur MySQL pour la bonne syntaxe à utiliser près J'aimerais que tu ressentes ça aussi. Nous aimerions vous compter parmi nous visiter pour voir plus de 100' à la ligne 3

Est-il possible d'avoir cette insérée sans elle échouer? le fichier d'importation peut être volumineux et changer régulièrement, donc je ne peux pas rechercher et remplacer les caractères qu'il contient.

Ma réelle Déclaration PHP est:

$query = mysql_query("REPLACE into list 
(id, name, link, description, cost, date_added,type,myipaq,private,imgurl) 
VALUES ('$id','$name','$link',"'$description'",'$cost','$date','$type','$myipaq','$private','$imgurl')"); 

merci à l'avance,

Greg

Answer 1

Cette tombe dans la catégorie d'injection SQL.

En PHP une fonction: mysql_real_escape_string est utilisée pour encoder une chaîne de sorte que rien de cela ne puisse affecter l'instruction SQL dans laquelle elle pourrait être concaténée. Alors assurez-vous que toutes vos valeurs passent par la fonction mysql_real_escape_string et tout ira bien.

API REF: http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 2

Il suffit de passer vos données via mysql_real_escape_string()

Answer 3

Utilisation: php.net/manual/en/function.addslashes.php

addslashes est juste éviter ça!

Et si vous utilisez ce, il suffit d'utiliser

http://www.php.net/manual/en/function.stripslashes.php

pour enlever les barres obliques de votre chaîne!

Answer 4

Utilisez ma fonction dandy à portée de main:

function mysql_safe_string($value) { 
    if(is_numeric($value))  return $value; 
    elseif(empty($value))  return 'NULL'; 
    elseif(is_string($value)) return '\''.mysql_real_escape_string($value).'\''; 
    elseif(is_array($value)) return implode(',',array_map('mysql_safe_string',$value)); 
} 

function mysql_safe_query($format) { 
    $args = array_slice(func_get_args(),1); 
    $args = array_map('mysql_safe_string',$args); 
    $query = vsprintf($format,$args); 
    $result = mysql_query($query); 
    if($result === false) echo '<div class="mysql-error"><strong>Error: </strong>',mysql_error(),'<br/><strong>Query: </strong>',$query,'</div>'; 
    return $result; 
} 

comme ceci:

mysql_safe_query('INSERT INTO table VALUES (%s, %s, %s)', $val1, $val2, $val3); 

Et oublier de citer ou non citer vos cordes et écrivant mysql_real_escape_string une douzaine de fois.

Answer 5

La seule manière vraiment sûre d'insérer ou de remplacer ou d'interagir avec quoi que ce soit sur une base de données avec PHP est d'utiliser des instructions préparées. Il n'y a plus aucune excuse pour le faire autrement. Échapper des chaînes en utilisant mysql_real_escape_string vous donnera une certaine protection, mais ce n'est pas une preuve à l'épreuve des balles.

Les instructions préparées ne sont même pas difficiles.Voir la page PHP manual sur eux, et il ya plusieurs wrappers pour rendre la vie encore plus facile, personnellement, j'aime beaucoup le codesense mysqli wrapper et l'utilise depuis un certain temps sans aucun problème - ce n'est pas plus dur que le code PHP MySQL droite. EasyPDO semble prometteur aussi.

Vous devriez consulter la question connexe "PHP: Is mysql_real_escape_string" sufficient for cleaning user input" pour plus de détails sur les raisons pour lesquelles vous ne devriez pas être paresseux.