转义字符串意味着什么？

Question

我正在阅读在进入SQL查询之前是否需要转义$_session['username']？它说“您需要转义传递给sql查询的每个字符串，而不管它的来源是什么”。现在我知道像这样的东西是非常基本的。谷歌搜索结果超过2万个。仅Stackoverflow就有20页的结果，但没有人真正解释什么是转义字符串，或者如何转义字符串。这只是假设。你能帮帮我吗？我想学习，因为我一直在用PHP制作一个web应用程序。

我看过了：插入转义字符，Java中的所有转义字符是什么？不能用addcslashes()转义字符串，转义字符，mysql_real_escape_string()到底做什么？如何在php中从字符串中转义双引号？mysql_real_escape_string不添加斜杠？在php中从字符串中删除转义序列。我可以继续，但我相信您明白了重点。这不是懒惰。

Answer 1

转义字符串意味着减少该字符串中使用的引号（和其他字符）的歧义。例如,当定义字符串时,通常用双引号或单引号包围它：

"Hello World."

但是如果我的字符串中有双引号呢？

"Hello "World.""

现在我有了歧义--解释器不知道我的字符串在哪里结束。如果我想保留我的双引号，我有几个选择。我可以在字符串周围使用单引号：

'Hello "World."'

"Hello \"World.\""

SELECT select FROM myTable

我们现在在查询中引入了一些歧义。在我们的查询中，我们可以通过使用反勾来减少这种歧义：

SELECT `select` FROM myTable

这消除了我们在选择字段名时使用错误判断所带来的混乱。

您只需通过mysql_real_escape_string()传递值就可以处理很多问题。在下面的示例中，您可以看到我们通过这个函数传递用户提交的数据，以确保它不会给我们的查询带来任何问题：

// Query
$query = sprintf("SELECT * FROM users WHERE user='%s' AND password='%s'",
            mysql_real_escape_string($user),
            mysql_real_escape_string($password));