MYSQL從html的文本區域插入字符串與分號...建議？

Question

這是關於PHP，Mysql和Html的textarea。

我想將用戶的輸入從html的textarea轉儲到我的mysql數據庫中。情況是，如果用戶在文本中有分號，mysql會因爲明顯的原因拒絕插入命令。我想知道的是，是否有任何方法強制mysql接受用戶的輸入而不管其語法如何？

預先感謝:)

Answer 1

您需要轉義任何SQL特殊字符，如分號。 mysql_real_escape_string可能是有用的。

如果您將其發送回瀏覽器，請不要忘記逃避用戶輸入，否則您將容易受到XSS（跨站點腳本攻擊）攻擊。當然，這次你需要轉義HTML特殊字符，而不是SQL。

Answer 2

任何文本字段應該使用PHP函數「mysql_real_escape_string」被插入到MySQL之前進行轉義：

http://us2.php.net/manual/en/function.mysql-real-escape-string.php

Answer 3

以上的答案是正確的，但要加什麼，他說，你可以使用strip_tags()清理輸出以避免XSS。