PHP mysql_real_escape_string() 函数

定义和用法

mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。

下列字符受影响：

• x00

• n

• r

• “

• x1a

如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。

语法

mysql_real_escape_string(string,connection)

说明

本函数将 string 中的特殊字符转义，并考虑到连接的当前字符集，因此可以安全用于 mysql_query()。

提示和注释

提示：可使用本函数来预防数据库攻击。

例子

例子 1

例子 2

数据库攻击。本例演示如果我们不对用户名和密码应用 mysql_real_escape_string() 函数会发生什么：

那么 SQL 查询会成为这样：

SELECT * FROM users
WHERE user=john AND password= OR =

这意味着任何用户无需输入合法的密码即可登陆。

例子 3

预防数据库攻击的正确做法：