在PHP中，如何製作包含引號和撇號的mySQL select查詢？

Question

我正在使用mysql_real_escape_string沒有任何問題的數據到我的數據庫。

所以在數據庫中的條目可能是：

1/4" Steve's lugnuts 

所以這是完全在數據庫中。
現在我想要搜索確切的東西。但是，它會在「或者」（我嘗試了很多東西，並且總是在某處出現混亂）發生混亂。

這是我現在擁有的： （user_input來自接上頁）

$user_input=mysql_real_escape_string($_REQUEST['user_input']); 
$search_row=mysql_query("SELECT * FROM some_table WHERE some_column LIKE '%$user_input%' "); 
while($search = mysql_fetch_array($search_row)) 
      {stuff happens} 

echo "<form action='search_results.php' method='post'>"; 
echo "<input name='user_input' type='text' size='50' value='" . $user_input. "'>"; 
echo "<input type='submit' value='Lookup Parts' />"; 
echo "</form>"; 

但問題是，我似乎無法得到任何東西，但錯誤
搜索字段（這應該與他們已經投入到填充）只是有：

1/4\" Steve\ 

我該幹什麼克錯了？

Answer 1

搜索字段（這應該與他們已經投入到填充）只是有1/4\" Steve\

當然有！
你放錯了你的逃跑。 mysql_real_escape_string僅用於SQL！但你使用它會導致對HTML。而對於HTML，你必須使用轉義的方式完全不同。

所以，使其

$user_input=mysql_real_escape_string($_REQUEST['user_input']); 
$search_row=mysql_query("SELECT * FROM some_table WHERE some_column LIKE '%$user_input%' "); 
while($search = mysql_fetch_array($search_row)) 
      {stuff happens} 


$user_input =htmlspecialchars($_REQUEST['user_input'],ENT_QUOTES); // here it goes 

echo "<form action='search_results.php' method='post'>"; 
echo "<input name='user_input' type='text' size='50' value='$user_input'>"; 
echo "<input type='submit' value='Lookup Parts' />"; 
echo "</form>"; 

也注意，在呼應HTML這樣的大塊沒有用。只要關閉PHP標籤，然後寫純HTML：

?> 
<form action='search_results.php' method='post'> 
<input name='user_input' type='text' size='50' value='<?=$user_input?>'> 
<input type='submit' value='Lookup Parts' /> 
</form> 

看起來更路清晰，可讀性和方便

Answer 2

打印您sentece 「SELECT * FROM some_table WHERE some_column LIKE '％$ USER_INPUT％'」，看看它在做什麼（和逃脫）。

不是一個解決方案，但看看mysqli或pdo（http://stackoverflow.com/questions/548986/mysql-vs-mysqli-in-php），他們有準備好的語句的實用程序。

Answer 3

不知道它是否有幫助，但不應該爲查詢和另一次爲html轉義？

$query = sprintf("SELECT * FROM some_table WHERE some_column LIKE '%s' ", mysql_real_escape_string($user_input)); 

echo "<input name='user_input' type='text' size='50' value='".htmlentities($user_input)."'>"; 

編輯

你也許不想改變（逃逸）的輸入（$ USER_INPUT）每次你提交..although如果只有「和」這就是影響可能不是怎樣都無所謂

Answer 4

嗯，你的問題是正確的引用。你的問題是，你需要不同的報價爲MySQL和HTML，你可能還可以有magic_quotes_gpc的設置！報價時，你時常引用文本一些特定的輸出，如：

1. 字符串值MySQL查詢
2. like爲MySQL查詢表達式
3. HTML代碼
4. JSON
5. 的MySQL正則表達式
6. php正則表達式

對於每種情況，都需要不同的引用，因爲每種用法都存在於不同的語法上下文中。這也意味着報價不應該在PHP的輸入中進行，而應該在特定的輸出！這就是爲什麼像magic_quotes_gpc這樣的功能被破壞的原因（保證它被關閉了!!!）。

那麼，在這些特殊情況下，用什麼方法來引用？ （隨時糾正我，有可能是更現代的方法，但這些工作對我來說）

1. mysql_real_escape_string($str)
2. mysql_real_escape_string(addcslashes($str, "%_"))
3. htmlspecialchars($str)
4. json_encode() - 只爲UTF8！我使用我的功能爲iso-8859-2
5. mysql_real_escape_string(addcslashes($str, '^.[]$()|*+?{}')) - 在這種情況下，您不能使用preg_quote，因爲反斜槓會被轉義兩次！
6. preg_quote()

編輯：關於你原來的問題 - 如果你糾正你的報價，你可以的話當然在字符串，包括單引號和雙引號使用任意字符。