Dấu gạch ngang là gì?

Question

thể trùng lặp:
Using stripslashes after mysql_real_escape_string

Tôi đã được đọc gần đây nhất là về công tác phòng chống SQL injection và tôi đang cố gắng để phát triển một số ý nghĩa của sự hiểu biết giữa các chức năng khác nhau để tôi có thể học hỏi những thứ cơ bản.

Tôi đã đọc về mysql_real_escape_string và tôi hiểu rằng về cơ bản là thoát các ký tự mà nó cho là "đặc biệt" sao cho nó không bị nhầm lẫn với cú pháp SQL?

Bây giờ, giả sử rằng ít nhất là ở một mức độ nào đó đúng - có cần sử dụng hàm stripslashes kết hợp với mysql_real_escape_string không? Tôi đang tự hỏi về những gì stripslashes là gì và nó là gì.

Answer 1

Nếu bạn sử dụng stripslashes khi nhập ngay sau khi sử dụng mysql_real_escape_string, bạn sẽ hoàn tác tác vụ đó một cách hiệu quả. Có lẽ các lý do khác để sử dụng stripslashes, nhưng trong trường hợp của tôi, tôi chỉ cần nó để hoàn tác sự kinh hoàng đó là dấu ngoặc kép. Nó thực sự là đối diện của addslashes.

addslashes không không nhất thiết là lối vào thoát giống như mysql_real_escape_string và không thể sử dụng cho cùng một mục đích.

Thậm chí tốt hơn mysql_*, bạn nên đọc kỹ các câu đã chuẩn bị như trong PDO. Sau đó, bạn thậm chí không phải lo lắng về mysql_* hoặc stripslashes (ngoại trừ báo giá kỳ diệu).

Answer 2

Chức năng stripslashes() sẽ là các ký tự unescape được thoát bằng dấu gạch chéo ngược, \. Nó thường được sử dụng trên các chuỗi được thoát qua addslashes() hoặc nếu cấu hình PHP của bạn đã bật magic_quotes.

Khi sử dụng các hàm thoát SQL chẳng hạn như mysql_real_escape_string(), không cần sử dụng stripslashes() vì bộ điều hợp MySQL sẽ chỉ thoát khỏi các giá trị khi chèn vào cơ sở dữ liệu - các dấu gạch chéo sẽ không còn trong giá trị thực. Nếu bạn đã sử dụng stripslashes() trên một biến mà bạn đã thoát với mysql_real_escape_string(), nó sẽ loại bỏ các dấu gạch chéo như thể nó đã được thoát bằng cách sử dụng addslashes() - khá vô nghĩa mặc dù.

Nếu mục tiêu của bạn là để ngăn chặn SQL-Injection, tôi rất muốn giới thiệu xem xét MySQLi hoặc PDO phản đối phương pháp cũ hơn mysql_. Cả MySQLi và PDO đều cung cấp các câu lệnh chuẩn bị, nếu được sử dụng đúng cách, sẽ ngăn chặn SQL-Injection mà không cần nhớ gọi các hàm thoát đặc biệt hoặc đáng lo ngại nếu dữ liệu của bạn sẽ bị sửa đổi.

Answer 3

stripslashes chức năng được sử dụng cho Un-quotes a quoted string

Ví dụ:

<?php 
echo stripslashes("how\'s going on?"); 
?> 

Sản lượng của các mã trên sẽ là:

how's going on? 

Để biết thêm chi tiết:

http://php.net/manual/en/function.stripslashes.php

Answer 4

séc ra

http://php.net/manual/en/language.types.string.php
http://php.net/manual/en/function.stripslashes.php
http://php.net/manual/en/mysqli.real-escape-string.php

Các chức năng thoát thêm dấu gạch chéo '\' để thoát khỏi nhân vật có thể được sử dụng để chấm dứt chuỗi truy vấn hợp lệ (không phải là truy vấn chính nó) để ngăn chặn tiêm. chức năng stripslashes được sử dụng để loại bỏ các dấu gạch chéo, tuy nhiên không có sử dụng thực tế cho họ trong việc xây dựng chuỗi truy vấn khi họ loại bỏ các dấu gạch chéo cần thiết.

Kết quả từ MySQL không được 'cắt' (thoát) vì vậy không cần sử dụng stripslashes khi xử lý kết quả.