php - 在 SQL 查询中必须从 PHP 表单中删除/转义哪些字符？

Question

天真地我认为将 UTF-8 字符串存储到数据库中是没有问题的，即使它们包含奇怪的字符。相反，我在这里和那里读到一些字符，如换行符，可以用来破解代码。

你知道哪些角色更适合剥离或逃脱吗？我也对好的文章和/或书籍（最好是 epub）感兴趣。

Answer 1

在 SQL 字符串文字中，您通常只需转义分隔字符串文字的字符，因为它们需要离开字符串文字上下文。这意味着，在单引号字符串中，必须对单引号字符进行转义，在双引号字符串中，必须对双引号字符进行转义。此外，转义字符也必须转义。

通常，字符串转义函数会转义这些字符以及其他不可打印的字符（如果适用）。

但是只要使用 DMBS API 提供的转义功能，您就不必关心正确的转义。

Answer 2

\x00, \n, \r, \, ', " and \x1a

您可以在手册中找到转义字符串（例如mysql_real_escape_string()）。

基本上它是单引号、'%' 和 '_'（用于搜索 usinglike子句的通配符）。