我想有一個(gè)不連接數(shù)據(jù)庫就表現(xiàn)為mysql_real_escape_string的功能，因?yàn)橛袝r(shí)我需要在沒有數(shù)據(jù)庫連接的情況下進(jìn)行干式測試。mysql_escape_string已被棄用，因此是不可取的。我的一些發(fā)現(xiàn)：http://www.gamedev.net/community/forums/topic.asp?topic_id=448909http://w3schools.invisionzone.com/index.php?showtopic=20064
3 回答
慕哥6287543
TA貢獻(xiàn)1831條經(jīng)驗(yàn) 獲得超10個(gè)贊
沒有DB連接就無法安全地轉(zhuǎn)義字符串。mysql_real_escape_string()并且準(zhǔn)備好的語句需要連接到數(shù)據(jù)庫，以便它們可以使用適當(dāng)?shù)淖址D(zhuǎn)義字符串-否則，使用多字節(jié)字符仍然可能發(fā)生SQL注入攻擊。
如果僅測試，那么您可能還可以使用mysql_escape_string()，它不能100％保證不會受到SQL注入攻擊，但是如果沒有數(shù)據(jù)庫連接就無法構(gòu)建任何更安全的東西。
子衿沉夜
TA貢獻(xiàn)1828條經(jīng)驗(yàn) 獲得超3個(gè)贊
好吧，根據(jù)mysql_real_escape_string函數(shù)參考頁：“ mysql_real_escape_string（）調(diào)用MySQL的庫函數(shù)mysql_real_escape_string，它轉(zhuǎn)義了以下字符：\ x00，\ n，\ r，\，'，“和\ x1a?！?/p>
考慮到這一點(diǎn)，那么您發(fā)布的第二個(gè)鏈接中給出的功能應(yīng)該完全滿足您的需求：
function mres($value)
{
$search = array("\\", "\x00", "\n", "\r", "'", '"', "\x1a");
$replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");
return str_replace($search, $replace, $value);
}
回首憶惘然
TA貢獻(xiàn)1847條經(jīng)驗(yàn) 獲得超11個(gè)贊
與我的其他答案完全相反，即使使用多字節(jié)字符，此后續(xù)功能也可能是安全的。
// replace any non-ascii character with its hex code.
function escape($value) {
$return = '';
for($i = 0; $i < strlen($value); ++$i) {
$char = $value[$i];
$ord = ord($char);
if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
$return .= $char;
else
$return .= '\\x' . dechex($ord);
}
return $return;
}
我希望比我自己更有知識的人可以告訴我為什么上面的代碼行不通...
添加回答
舉報(bào)
0/150
提交
取消