php addslashes和mysql_real_escape_string

前端之家收集整理的这篇文章主要介绍了php addslashes和mysql_real_escape_string前端之家小编觉得挺不错的,现在分享给大家,也给大家做个参考。

很好的说明了addslashes和MysqL_real_escape_string的区别,虽然国内很多PHP coder仍在依靠addslashes防止sql注入(包括我在内),我还是建议大家加强中文防止sql注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号,而addslashes只是将0xbf27修改为0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会被看作是单引号,所以addslashes无法成功拦截
当然addslashes也不是毫无用处,它是用于单字节字符串的处理,多字节字符还是用MysqL_real_escape_string吧。
另外对于PHP手册中get_magic_quotes_gpc的举例:
<div class="codetitle"><a style="CURSOR: pointer" data="52183" class="copybut" id="copybut52183" onclick="doCopy('code52183')"> 代码如下:

<div class="codebody" id="code52183">
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST[‘lastname']);
} else {
$lastname = $_POST[‘lastname'];
}

最好对magic_quotes_gpc已经开放的情况下,还是对$_POST['lastname']进行检查一下。
再说下MysqL_real_escape_string和MysqL_escape_string这2个函数的区别:
MysqL_real_escape_string 必须在(PHP 4 >= 4.3.0,PHP 5)的情况下才能使用。否则只能用 MysqL_escape_string ,两者的区别是: MysqL_real_escape_string 考虑到连接的当前字符集,而MysqL_escape_string 不考虑。 总结一下: addslashes() 是强行加;
MysqL_real_escape_string() 会判断字符集,但是对PHP版本有要求;
MysqL_escape_string不考虑连接的当前字符集。

原文链接:https://www.f2er.com/php/28828.html

猜你在找的PHP相关文章