php real_escape_string

Question

Ich poste die Daten der dynamisch generierten Textbox in PHP. Wenn ich die Daten mit real_escape_string() schreiben, das heißt:

$ingredient = mysql_real_escape_string($_POST['ingredient']); 

... es keine Daten von Textbox nicht schreiben und ich verwende einfach $_POST['']; Methode heißt:

$ingredient = $_POST['ingredient']; 

... es gibt mir Fehler wenn ich ein einfaches Zitat (') in meinem Text verwende.

Sie haben einen Fehler in Ihrer SQL-Syntax; das Handbuch, die lokal in der Nähe von ‚s‘ zu verwenden, ‚fgad‘, ‚55‘)‘in Zeile 2

dies war meine alte Post
i löste das Problem auf Ihre MySQL-Server-Version für die richtige Syntax entspricht indem ich magic_quotes_gpc = On aktiviere, aber wenn ich es auf meinem Server hochlade, funktioniert es nicht mehr, also wie kann ich magische Anführungszeichen auf dem Server einschalten.

Answer 1

Ich denke, das könnte auf die „Magie“ zitiert in Beziehung gesetzt werden verfügen - diese Seite Details siehe: Magic Strings & SQL

Grundsätzlich aufgrund von Problemen mit SQL-Injection-Angriffe, sie vorge entkommen Strings mit Anführungszeichen nach einer bestimmten Version von PHP (ich denke, es war 5.0, aber ich könnte falsch liegen). Das Endergebnis ist, dass Ihre Software nun nach der Softwareversion suchen muss und sich anders verhalten muss, je nachdem, ob die Zeichenfolge bereits maskiert ist oder nicht.

Answer 2

Haben Sie eine offene Datenbankverbindung? mysql_real_escape_string benötigt einen MySQL-Server, mit dem Sie sprechen können, um zu funktionieren.

Answer 3

Sie möchten vielleicht

$ingredient = $_POST['ingredient']; 

$ingredient = mysql_real_escape_string($ingredient); 

Answer 4

<?php 
$con=mysqli_connect("localhost","my_user","my_password","my_db"); 

// Check connection 
if (mysqli_connect_errno()) { 
    echo "Failed to connect to MySQL: " . mysqli_connect_error(); 
} 

// escape variables for security 
$firstname = mysqli_real_escape_string($con, $_POST['firstname']); 
$lastname = mysqli_real_escape_string($con, $_POST['lastname']); 
$age = mysqli_real_escape_string($con, $_POST['age']); 

$sql="INSERT INTO Persons (FirstName, LastName, Age) 
VALUES ('$firstname', '$lastname', '$age')"; 

if (!mysqli_query($con,$sql)) { 
    die('Error: ' . mysqli_error($con)); 
} 
echo "1 record added"; 

mysqli_close($con); 
?> 

Sie Verbindung db http://php.net/manual/en/mysqli.real-escape-string.php

sehen verwendet wird, muss versuchen, können Sie verwenden auch
String mysqli :: real_escape_string (string $ escapestr)