addslashes()用途與php怎樣防止mysql注入?

1.表單資料

顯示的是表單的資料

2.php的抓取的表單資料

已經自動加了\

3.mysql資料 (最下面一行)

寫到mysql中居然沒有

4.懷疑是被mysql軟體隱藏掉了，進命令列看看：

也沒有看到\

按照官方的說法
http://www.php.net/manual/zh/function.addslashes.php

一個使用 addslashes() 的例子是當你要往資料庫中輸入資料時。 例如，將名字 O'reilly 插入到資料庫中，這就需要對其進行轉義。 強烈建議使用 DBMS 指定的轉義函數 （比如 MySQL 是 mysqli_real_escape_string()，PostgreSQL 是 pg_escape_string()），但是如果你使用的 DBMS 沒有一個轉義函數，並且使用 \ 來轉義特殊字元，你可以使用這個函數。 僅僅是為了擷取插入資料庫的資料，額外的 \ 並不會插入。 當 PHP 指令 magic_quotes_sybase 被設定成 on 時，意味著插入 ' 時將使用 ' 進行轉義。

問題：
1.addsleshes()函數在起到防止注入的作用時，是怎樣一種機制?
2.stripslashes()在什麼情況下使用?
3.對錶單提交過來的資料直接用htmlspecialchars()轉義處理並存入資料庫，是不是更好?
4.好是的防止sql注入的方式是怎樣的?

.

回複內容：

1.表單資料

顯示的是表單的資料

2.php的抓取的表單資料

已經自動加了\

3.mysql資料 (最下面一行)

寫到mysql中居然沒有

4.懷疑是被mysql軟體隱藏掉了，進命令列看看：

也沒有看到\

按照官方的說法
http://www.php.net/manual/zh/function.addslashes.php

一個使用 addslashes() 的例子是當你要往資料庫中輸入資料時。 例如，將名字 O'reilly 插入到資料庫中，這就需要對其進行轉義。 強烈建議使用 DBMS 指定的轉義函數 （比如 MySQL 是 mysqli_real_escape_string()，PostgreSQL 是 pg_escape_string()），但是如果你使用的 DBMS 沒有一個轉義函數，並且使用 \ 來轉義特殊字元，你可以使用這個函數。 僅僅是為了擷取插入資料庫的資料，額外的 \ 並不會插入。 當 PHP 指令 magic_quotes_sybase 被設定成 on 時，意味著插入 ' 時將使用 ' 進行轉義。

問題：
1.addsleshes()函數在起到防止注入的作用時，是怎樣一種機制?
2.stripslashes()在什麼情況下使用?
3.對錶單提交過來的資料直接用htmlspecialchars()轉義處理並存入資料庫，是不是更好?
4.好是的防止sql注入的方式是怎樣的?

.

如文檔上寫的呀，addslashes就是為參數的引號前加了個斜杠。
也如你所列印的資料，參數前也有斜杠。
但是資料庫裡就不應該有斜杠呀！
addslashes是如何防注入的，就是防止在我們寫SQL時直接套用輸入參數而導致產生可被注入的SQL來防注入的。
例如$sql = "SELECT * FROM user WHERE id = '$id'";，如果這裡的$id參數被人故意操作成了1' OR '1 = 1'，那不就成了注入SQL了嗎？
而如果用addslashes加上斜杠，$id中的引號就會被轉意，也就不會產生錯誤的SQL。但這些結果都不會影響到資料寫入，因為真正插入和更新資料時，這些斜杠又會被轉意回來的。

防禦SQL注入(輸入資料庫):
PDO bindParam 或 mysqli_stmt_bind_param: 避免SQL注入.
addslashes: 用反斜線轉義所有的單引號,雙引號,反斜線和NUL's,一定程度上避免SQL注入.
mysqli_real_escape_string: 轉義SQL語句中的特殊字元.
有了bind_param,就不需要使用addslashes,mysqli_real_escape_string,magic_quotes_gpc這些功能了.
比如:

PDO MySQL://方法1(問號預留位置)$stmt = $db->prepare('UPDATE posts SET post_title = ?, post_content = ? WHERE id = ?');$stmt->execute(array($title,$content,$id)); //所有值視作PDO::PARAM_STR處理//方法2(命名預留位置)$stmt = $db->prepare('UPDATE posts SET post_title = :title, post_content = :content WHERE id = :id');$stmt->execute(array(':title' => $title,':content' => $content,':id' => $id)); //所有值視作PDO::PARAM_STR處理//方法3$stmt = $db->prepare('UPDATE posts SET post_title = ?, post_content = ? WHERE id = ?');$stmt->bindParam(1, $title,   PDO::PARAM_STR);$stmt->bindParam(2, $content, PDO::PARAM_STR);$stmt->bindParam(3, $id,      PDO::PARAM_INT);$stmt->execute();//方法4$stmt = $db->prepare('UPDATE posts SET post_title = :title, post_content = :content WHERE id = :id');$stmt->bindParam(':title',   $title,   PDO::PARAM_STR);$stmt->bindParam(':content', $content, PDO::PARAM_STR);$stmt->bindParam(':id',      $id,      PDO::PARAM_INT);$stmt->execute();MySQLi://MySQLi只需執行一次bind_param,要比PDO簡潔一些,MySQLi不支援命名預留位置.$stmt->bind_param('ssi', $title, $content, $id);

你說的htmlspecialchars是在輸出HTML時防禦XSS攻擊的,區別於上面說的防禦SQL注入.

