php - MySQL 不允许我插入包含单引号 ( ' ) 的值

Question

我有一个文本区域输入，我正在尝试发送到我的数据库

"istanbul'un kanayan yarası olan ulaşım, özellikle anadolu yakasından kartal'dan kadıköy'e ulaşımın neredeyse 2 saate varması yüzünden perişan. devletin de politikaları aşikar. 17 ağustos günü verilen söz tutulur mu merak ed."

文本。

它转到>

$bahisaciklamax = $_POST["bahisaciklama"];
$bbb=str_replace("\r\n", "<br />", $bahisaciklamax);
$bahisaciklama=strtolower(strip_tags($bbb, '<br><br /><br/><br />'));

并给出这个错误：

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'un kanayan yarası olan ulaşım, özellikle anadolu yakasından kartal'dan kadıköy'e' at line 1

我该如何解决这个问题？

Answer 1

您的代码容易发生SQL 注入。使用PDO或MYSQLI

使用 PDO 扩展的示例：

<?php

    $dbh = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
    $stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (?, ?)");
    $stmt->bindParam(1, $name);
    $stmt->bindParam(2, $value);

    // insert one row
    $name = 'one';
    $value = 1;
    $stmt->execute();

?>

这将允许您使用单引号插入记录。