我應該在“ LIKE” SQL查詢中轉義通配符嗎？

Question

假設我在這樣的變量中存儲了一個LIKE sql語句：

$movie_title = $_POST['movie_title'];
$query= "SELECT movie FROM movies WHERE title LIKE '%" . $movie_title . "%'";

我可以通過轉義通配符%和_防止什么情況的sql注入攻擊？

Answer 1

使用PDO：

$pdo = new PDO(/* db info */);

$original = $_POST['movie_title'];
$wildcarded = '%'.$original.'%';
$stmt = $pdo->prepare('SELECT movie FROM movies WHERE title LIKE :var');
$stmt->bindParam(':var', $wildcarded);
$stmt->execute();
// fetching and stuff...

Answer 2

很簡單：

編寫這樣的函數：

function sqlwildcardesc($x){
    return str_replace(array("%", "_"), array("\\%", "\\_"), mysql_real_escape_string($x));
}

現在您的查詢：

$query= "SELECT movie FROM movies WHERE title LIKE '%".sqlwildcardesc($movie_title)."%'";

這應該工作！ 我在自己的項目中測試過它！ 玩得開心 ;）