如何启用自动mysql真正逃避所有查询？

Question

我正在运行php 5.2.13并且我有一个包含大量文件的应用程序，但它们都在开始时调用一个文件，我想在该文件中放一些行以自动mysql真正转义任何查询，因为我不想要浏览每个文件并更改代码。

谢谢！

Answer 1

我不知道这会有多好。 你真正需要的是逃避输入而不是表名，字段等等。如果你将整个查询传递给一个转义符，我愿意打赌你会发现大量的查询会失败，因为它会变成像

select * from tablename where name = 'foo'

into

select * from tablename where name = \'foo\'

哪会窒息。

并且，在代码中使用包装函数有很大帮助（假设您不想使用框架等）。 如果你的代码周围有“mysql_query（）”，你可能需要做一些工作来改变它。 如果您不能/不想采用框架，至少将其包装在您自己的函数中，如“db_query（）”，如下所示：

function db_query($query,$and,$other,$arguments)
{
    mysql_query( ... ); // you can change this to some other database later if you want
}

几年前我在一个项目中做到了这一点，当我想记录一些错误时，它帮助了很多。 我刚刚将它添加到该函数中，而不是在代码中的200个位置。

但是，如果你没有在第一时间正确地逃避输入，那么即使这样也无济于事。 在这种情况下，您唯一的选择是花一些时间来修复它。

Answer 2

汉斯有一些很好的建议。 但我认为最重要的是你必须修改很多代码。 这个没有灵丹妙药。 无论谁写的都应该知道的更好，现在你的朋友会付出代价。 就个人而言，如果您必须进入并手动编辑，我会敦促您切换到PDO或mysqli 。 这样你就可以使用准备好的语句，只要你正确使用它们就能处理变量的转义。

Answer 3

如果您有一个大型项目，并且需要更改数据访问权限，我建议转移到ORM，我的个人选择是Propel。

有了这个，您将解决整个转义sql的问题，将使您的应用程序更具可伸缩性，您还可以反转您的数据库图表，以生成Propel所需的类。

Propel将为您提供诸如交易，参数等诸多好处，因此您应该重新考虑它。

最好的祝福

Answer 4

请注意，这不是您想要转义的查询 ，它是用户提供的要包含在查询中的变量 （除非您是故意编写格式错误的SQL）。 所以你可以做的就是使用array_map()在$ _POST数组上运行mysql_real_escape_string() ，前提是你不打算将该数组用于其他任何事情。

无论如何， mysql_real_escape_string()仍然只是该问题的第二个最佳解决方案。 我可以使用预备语句（AKA参数化查询），而且你可以免费回家。