Abfrage einfügen Fehler

Question

Ich versuche, eine Zeichenfolge in die Datenbank einzufügen, aber wenn es ein einzelnes Anführungszeichen (') enthält, wird die Abfrage ungültig.

$set_content=$_POST['content']; 

$result = pg_query($db,"INSERT INTO programmes(title,picture,content) VALUES('$set_title','$pic_path','$set_content');"); 

Answer 1

http://php.net/manual/en/function.pg-query.php

String Interpolation von vom Benutzer gelieferten Daten Warnung ist äußerst gefährlich und wird wahrscheinlich SQL Injektion Anfälligkeiten führen. In den meisten Fällen sollte pg_query_params() bevorzugt werden, indem vom Benutzer angegebene Werte als Parameter übergeben werden, anstatt sie in die Abfragezeichenfolge einzufügen.

$result = pg_query_params($db,"INSERT INTO programmes(title,picture,content) VALUES($1,$2,$3);",Array($set_title,$pic_path,$set_content));