Warum funktioniert mysql_real_escape_string nicht mit $ _POST?

Question

Dieser Code wird zum Beispiel der Zeichenfolge des Kommentars für die Datenbank nicht entkommen:

if ($_POST['comment']) { 
    $comment = mysql_real_escape_string(htmlentities($_POST['comment_txt'])); 
    $comment_insert = mysql_query("UPDATE msgs SET msg='$comment' WHERE user='$username'") 
    or die; 
    } 

aber dies wird:

if ($_POST['comment']) { 
    $comment_p = $_POST['comment_txt']; 
    $comment = mysql_real_escape_string(htmlentities($comment_p)); 
    $comment_insert = mysql_query("UPDATE msgs SET msg='$comment' WHERE user='$username'") 
    or die; 
    } 

Warum? Warum kann ich nicht einfach den $ _POST-Wert verlassen? Warum muss ich eine neue $ Variable für $ _POST definieren, um sie zu umgehen? Dies ist Sicherheitszange. Ich werde irgendwann zu PDO wechseln, aber im Moment stecke ich mit der alten MySQL-API fest.

Answer 1

Das ist einfach falsch. Sie müssen nicht, bevor der Wert in dem $_POST Array in eine Variable setzen, es direkt auf dem $_POST Wert arbeitet auch

Betrachten obwohl mysqli oder PDO statt mysql verwenden.

Answer 2

Versuchen Sie dieses, es könnte Ihnen helfen:

$comment = mysql_real_escape_string(htmlentities($_POST['comment_txt'], ENT_QUOTES, "UTF-8")); 

Details von hier: PHP $_POST doesn't take accents