mysql_real_escape不止一次

Question

我只是想知道，如果我不止一次地使用mysql_real_escape数据，它是否会有所作为？

所以，如果我在我的网站的一部分，然后再在另一部分代码中的数据溢出。这会成为一个问题吗？或者有所作为？

Answer 1

是的。你会得到额外的不必要的反斜杠。

Answer 2

当然，数据会被双重转义。

根本不应该使用mysql_real_escape()，通过mysqli的参数化查询一直存在很长时间。

Answer 3

不可能区分转义字符串和非转义字符串，因为看起来像转义字符串的东西是预期的非转义字符串。因此，试图再次逃跑，将逃避逃跑 - 而逃脱的文本将成为MySQL读取的内容。

因此，你不应该多次逃脱。

但是，更好的解决方案是使用参数化查询，因为那样你根本不需要转义。

Answer 4

是的，这将是一个问题。

例如：
如果一个是“乔的家”，第一个电话会产生“乔\之家”，第二个会产生“乔\\\之家”，节约反斜杠在数据库中。

这与Web服务器启用魔术引号时出现的问题类似，并且您在客户端的输入上使用了mysql_real_escape_string。这是通过解决：

if (! get_magic_quotes_gpc()) { 
    $value = mysql_real_escape_string($_GET["value"]); 
} else { 
    $value = mysql_real_escape_string(stripslashes($_GET["value"])); 
} 

（对于后者例如参见http://www.php.net/get_magic_quotes_gpc）

[I编辑的答案，以反映在下面的评论更正]

Answer 5

是的，这将是一个过擒纵问题。任何逃跑都是一样的，不管它究竟是什么。举例来说，如果你想逃避字符串双引号以下共同的规则：一个转义成为

bla \"foo\" 

bla "foo" 

经过两次成为

bla \\\"foo\\\" 

等之后。 “unes​​capements”的数量必须与“擒纵系统”的数量完全匹配。您可以在某些网站上看到此问题的表现形式，这些网站超出了文本字段中的某些字符，因此输出时简单的撇号变为\'。

Answer 6

是的，它的确与众不同：

$string = "I'm Chuck!"; 
mysql_escape_string($string); // I\'m Chuck! 
mysql_escape_string(mysql_escape_string($string)); // "I\\\'m Chuck! 

Answer 7

正确的地方mysql_real_escape是您发送的查询保存数据之前。 脚本中的其他任何地方都是主要的设计缺陷。

这当然应该最好在一个自己的db级中。