关于Mysql查询带单引号及插入带单引号字符串问题
更新时间：2013年04月02日 16:45:32 作者：
本文主要介绍的是用mysql_real_escape_string对用户提交的表单数据进行转义处理和通过addslashes以及mysql_escape_string这3个类似功能的函数用法区别
Mysql查询带引号和不带引号区别
当数据库字段ID为整型时
select ID from table where ID=1
和
select ID from table where ID='1'
两条sql都是可以的,但是第一条sql不用进行隐式转换,速度上比第二条sql略快一些
今天在向mysql数据库中插入带单引号字符串的时候，什么错也没报就是语句执行失败，后来才知道，单引号等要转义，可以使用函数：mysql_real_escape_string和addslashes函数；
以下做个介绍：往数据库中插入数据之前是要先转义的,在插入数据库.
本文很好的说明了addslashes和mysql_real_escape_string的区别，虽然国内很多PHP coder仍在依靠addslashes防止SQL注入，我还是建议大家加强中文防止SQL注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。
当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用mysql_real_escape_string吧。
另外对于php手册中get_magic_quotes_gpc的举例：
<?php
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST["lastname"]);
} else {
$lastname = $_POST['lastname'];
}
?>
最好对magic_quotes_gpc已经开放的情况下，还是对$_POST['lastname']进行检查一下。
再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别：
mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ，两者的区别是：
mysql_real_escape_string 考虑到连接的当前字符集，而mysql_escape_string 不考虑。
总结一下：
addslashes() 是强行加；
mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；
mysql_escape_string不考虑连接的当前字符集。
当数据库字段ID为整型时
select ID from table where ID=1
和
select ID from table where ID='1'
两条sql都是可以的,但是第一条sql不用进行隐式转换,速度上比第二条sql略快一些
今天在向mysql数据库中插入带单引号字符串的时候，什么错也没报就是语句执行失败，后来才知道，单引号等要转义，可以使用函数：mysql_real_escape_string和addslashes函数；
以下做个介绍：往数据库中插入数据之前是要先转义的,在插入数据库.
本文很好的说明了addslashes和mysql_real_escape_string的区别，虽然国内很多PHP coder仍在依靠addslashes防止SQL注入，我还是建议大家加强中文防止SQL注入的检查。addslashes的问题在于黑客可以用0xbf27来代替单引号，而addslashes只是将0xbf27修改为0xbf5c27，成为一个有效的多字节字符，其中的0xbf5c仍会被看作是单引号，所以addslashes无法成功拦截。
当然addslashes也不是毫无用处，它是用于单字节字符串的处理，多字节字符还是用mysql_real_escape_string吧。
另外对于php手册中get_magic_quotes_gpc的举例：
复制代码 代码如下:
<?php
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST["lastname"]);
} else {
$lastname = $_POST['lastname'];
}
?>
最好对magic_quotes_gpc已经开放的情况下，还是对$_POST['lastname']进行检查一下。
再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别：
mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ，两者的区别是：
mysql_real_escape_string 考虑到连接的当前字符集，而mysql_escape_string 不考虑。
总结一下：
addslashes() 是强行加；
mysql_real_escape_string() 会判断字符集，但是对PHP版本有要求；
mysql_escape_string不考虑连接的当前字符集。
相关文章
MySQL 外键约束（FOREIGN KEY）是表的一个特殊字段，经常与主键约束一起使用。对于两个具有关联关系的表而言，相关联字段中主键所在的表就是主表，外键所在的表就是从表。外键用来建立主表与从表的关联关系，为两个表的数据建立连接，约束两个表中数据的一致性和完整性2021-10-10
有个采用子查询的DELETE执行得非常慢，改写成SELECT后执行却很快，最后把这个子查询DELETE改写成JOIN优化过程2016-08-08
Ubuntu20下MySQL 8.0.28 安装卸载方法图文教程
这篇文章主要为大家详细介绍了Ubuntu20下MySQL 8.0.28 安装卸载方法图文教程，文中安装步骤介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2022-04-04
DQL(Data Query Language，数据查询语言)，查询数据库数据，如SELECT语句，简单的单表查询或多表的复杂查询和嵌套查询，数据库语言中最核心、最重要的语句，使用频率最高的语句2022-09-09
这篇文章主要介绍了使用JDBC数据库连接工具类方式，具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2007-03-03
在开发过程中我们不管是用来测试性能还是在生产环境中页面展示好看一点, 经常需要一些测试数据, 本文主要介绍了两种常用的MySQL测试数据批量生成方式,希望对大家有所帮助2023-11-11
这篇文章主要介绍了mysql返回Boolean类型的几种情况，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2021-06-06
mysql时间戳格式化函数from_unixtime使用的简单说明
mysql中的FROM_UNIXTIME函数可以数据库中整型类的时间戳格式化为字符串的日期时间格式,下面这篇文章主要给大家介绍了关于mysql时间戳格式化函数from_unixtime使用的简单说明,需要的朋友可以参考下2022-08-08
本文介绍主要介绍在mysql中使用in语句时，查询效率非常慢，这里分享下我的解决方法，供朋友们参考。2017-10-10
这篇文章主要介绍了Centos7 下Mysql5.7.19安装教程详解,小编认为非常不错，特此分享到脚本之家平台，需要的朋友参考下吧2017-09-09
最新评论