在逃避一个数组变量和分配逃脱值原始变量值动态

Question

我通常只是插入到我的数据库之前使用mysql_real_escape_string上的每个变量，因此，例如：

$first_name = mysql_real_escape_string($first_name); // Bill 
    $last_name = mysql_real_escape_string($last_name); // O'Rielly 
    $email  = mysql_real_escape_string($email);  // name@domain.com 

    $insert = mysql_query(" 
        INSERT INTO `users` (first_name, last_name, email) 
        VALUES ('$first_name', '$last_name', '$email') 
       ") or die(mysql_error()); 

但在某些形式的我能有可能我想要转义20个不同的变量，所以我希望有一种方法可以使用数组，通过函数运行它来转义每个数组。然后使原始变量（$first_name，$last_name,$email）具有数组中已转义字符串的值。我想出了以下内容，但这是我所得到的。

$form_array = array($first_name, $last_name, $email); 

    print_r($form_array); 
    echo("<br />".$last_name."<br />"); 

    function cleanInput($array) { 
     return array_map('mysql_real_escape_string', $array); 
    } 

    $clean_array = cleanInput($form_array); 

    print_r($clean_array); 
    echo("<br />".$clean_array[1]."<br />"); 

，它输出以下内容：

Array ([0] => Bill [1] => O'Rielly [2] => name@domain.com) 
    O'Rielly 
    Array ([0] => Bill [1] => O\'Rielly [2] => name@domain.com) 
    O\'Rielly 

所以，我们可以看到，它的逃逸正确，但我和整个制作$first_name难倒有$clean_array[0]值，$last_name具有的价值$clean_array[1]等

我当然知道我可以只写：

$first_name = $clean_array[0]; 
    $last_name = $clean_array[1]; 

但它有点让这个数组/函数根本没有意义，因为我可能只是分别将每个变量/字符串转义出来，我总是这样做。所以我希望有一种方法可以在函数中做某种循环，根据数组中的内容动态地执行此操作。

因为当谈到在未来做验证我只能

• 全部分配$ _ POST数据到变量
• 把它们放在变量数组
• 运行通过功能的阵列和所有原始的$ _POST变量现在都有函数的转义值
• 使用开头提到的插入方法，使用变量的原始名称$first_name，$last_name等。

相反则：

$insert = mysql_query(" 
        INSERT INTO `users` (first_name, last_name, email) 
        VALUES ('$clean_array[0]', '$clean_array[1]', '$clean_array[2]') 
       ") or die(mysql_error()); 

这可能吗？

更新

从hakre的有关compact和extract功能后，我现在已经想出了以下内容：

$array = compact(array("first_name", "last_name", "email")); 
    echo("<strong>Before:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email."<br /><br />"); 

    extract(array_map('mysql_real_escape_string', $array), EXTR_OVERWRITE); 
    echo("<strong>After:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email.""); 

，它输出以下细节如何，我想他们：

之前：

名字：

比尔

姓：O'Rielly

电子邮件：name@domain.com

后：

名字：

比尔

姓： O'Rielly

Email：name@domain.com

我试过把extract放到一个函数中，但是它不起作用？

function cleanInput($array) { 

     $clean_array = extract(array_map('mysql_real_escape_string', $array), EXTR_OVERWRITE); 
     return $clean_array; 

    } 

    $array = compact(array("first_name", "last_name", "email")); 
    echo("<strong>Before:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email."<br /><br />"); 

    cleanInput($array); 
    echo("<strong>After:</strong><br />First Name: ".$first_name."<br />Last Name: ".$last_name."<br />Email: ".$email.""); 

我敢肯定，我一定要退回提取功能，但我已经尝试了一些不同的东西，它要么不给任何输出或$last_name只是打印转义值。

Answer 1

您可能会感兴趣于compact和extract。两者都允许您将变量作为数组处理。阵列很舒服，因为您可以将单个动作重复到所有值。

例子：

$vars = array('first_name', 'last_name', 'email'); 

$first_name = $last_name = $email = 'just some init value'; 

$array = compact($vars); 

foreach($array as &$value) 
    $value = str_shuffle($value); 
unset($value); 

extract($array); 

printf("First: %s; Last: %s; Email: %s", $first_name, $last_name, $email); 

输出：

First: sjivus enta metluoi; Last: i evounes tliuat smj; Email: tleetnumav siuijo s 

Answer 2

function dbSet($fields, $source = array()) { 
    $set = ''; 
    if (!$source) $source = &$_POST; 

    foreach ($fields as $field) { 
    if (isset($source[$field])) { 
     $set.="`$field`='".mysql_real_escape_string($source[$field])."', "; 
    } 
    } 
    return substr($set, 0, -2); 
} 

这段代码被称为函数。尽管只有极少数的PHP用户对它们有所了解，但功能是非常非常强大的。它可以使您的代码简洁易读，并为您节省数小时的打字时间。

所以，在你的配置文件中这个功能，你必须键入低至

$fields = explode(" ","name surname lastname address zip fax phone"); 
$query = "INSERT INTO table SET ".dbSet($fields); 

注意$的Fileds阵列。我希望这是不言而喻的，虽然

那么，经过一些澄清的意见，我可以延长我的答案。

摆脱不断逃跑的最佳方式是摆脱它。要么创建你自己的，要么使用一些现有的数据库抽象库，它将为你做所有的转义。

说一个代码来检查现有用户名应该看起来像

$username_exists=$db->getOne("SELECT id FROM users WHERE name=?",$_POST['name']); 
if ($username_exists) // do stuff. 

其中，$ _ POST [“名”]将被正确格式化，或者通过利用本地准备的语句或适当的转义/铸造/白名单。

所以，根本不需要关心手动转义。
这也是我首先发布的函数的确切点。