Wie mysql in Magento entkommen?

Question

Ich möchte String in Magento zu entkommen, aber wenn ich mysql_real_escape_string verwende, bekomme ich eine Warnung.

Warnung: mysql_real_escape_string() [function.mysql-real-Escape-string]: Kann nicht an lokalen MySQL Server über Socket ‚/var/lib/mysql/mysql.soc verbinden .... . '

Ich konnte keine Magento Core mysql Escape-Funktion finden. Also was soll ich tun?

Answer 1

verwendet eine Zeichenfolge für eine Abfrage zu entkommen und die umliegenden Apostrophe hinzufügen:

Mage::getSingleton('core/resource')->getConnection('default_write')->quote($string); 

Sie Varien_Db_Adapter_Pdo_Mysql für weitere Details zu zitieren nachschlagen können, wenn nötig.

Answer 2

Ich denke, Magento verwendet eine DB-Access-Schicht auf PDO-Basis, die das automatische Entkommen behandelt, vorausgesetzt, Sie verwenden gebundene Parameter. Beispiel von Using Magento Methods to write Insert Queries with care for SQL Injection

$write = Mage::getSingleton("core/resource")->getConnection("core_write"); 

// Concatenated with . for readability 
$query = "insert into mage_example " 
     . "(name, email, company, description, status, date) values " 
     . "(:name, :email, :company, :desc, 0, NOW())"; 

$binds = array(
    'name' => "name' or 1=1", 
    'email' => "email", 
    'company' => "company", 
    'desc' => "desc", 
); 
$write->query($query, $binds);