PHP 中使用 mysql_real_escape_string 安全处理 MySQL 语句参数

为什么需要转义 SQL 特殊字符

当应用程序接收来自表单自动提交的内容或其他不可信来源的数据时，这些数据可能包含单引号、双引号、反斜杠等对 SQL 语法有特殊含义的字符。如果不对这些字符进行处理，攻击者可以通过构造恶意输入来篡改 SQL 查询逻辑，导致数据泄露或被破坏。因此，避免人工逐个处理每个特殊字符是必要的，而使用标准库函数能确保转义的准确性和一致性。

mysql_real_escape_string 函数的作用与限制

mysql_real_escape_string 是 PHP 早期版本中与 mysql_* 系列函数配套使用的字符串转义函数。它的主要功能是转义 SQL 语句中使用的字符串里的特殊字符，并且能够考虑到当前数据库连接的字符集，从而避免因编码不一致导致的潜在风险。

关键注意事项

• 适用范围：该函数并不转义通配符 % 和 _。如果在 LIKE 查询中使用这些字符，需额外注意逻辑匹配结果。
• 操作对象：最好不要对整条 SQL 语句使用该函数。正确的做法是只转义传入 SQL 语句的字符串参数（变量值）。如果对整条语句转义，可能会导致 SQL 关键字或结构被错误修改，引发意想不到的解析错误或逻辑异常。
• 连接依赖：该函数依赖于已建立的数据库连接，若未先调用 mysql_connect 建立连接，可能导致转义失败或报错。

代码实现示例

以下演示如何获取一个包含特殊字符的字符串，并对其进行转义后输出。假设我们有一个包含名字中撇号（'）的用户名，我们需要安全地处理它。

<?php
// 假设 $link 是通过 mysql_connect 建立的资源标识符
// 在实际旧版代码中，变量通常源自 $_POST 或 $_GET
$item = "Zak's and Derick's Laptop";

// 使用 mysql_real_escape_string 进行转义
// 注意：第二个参数为可选的链接标识符，若省略则使用最后打开的连接
$escaped_item = mysql_real_escape_string($item);

printf("Escaped string: %s\n", $escaped_item);
?>

在上述代码中，$escaped_item 将变为 Zak\'s and Derick\'s Laptop（具体取决于服务器环境显示）。这样处理后，该字符串可以安全地嵌入到 SQL 查询语句中，例如：SELECT * FROM products WHERE name = '$escaped_item'。

总结与安全建议

mysql_real_escape_string 是一种基于转义的防御手段，但它随着 PHP 版本的演进已被标记为废弃（Deprecated），并在 PHP 7.0 及更高版本中被彻底移除。在现代 PHP 开发中，强烈推荐使用 mysqli_real_escape_string 配合 mysqli 扩展，或者更优地采用 PDO 的预处理语句（Prepared Statements）来从根本上解决 SQL 注入问题。然而，维护老旧系统时，正确理解和使用该函数仍是保障基础安全的必要技能。

以上就是使用 mysql_real_escape_string 在 PHP 中转义 MySQL 语句参数的详细内容，更多关于 PHP 数据库安全防护的资料请关注本站其它相关文章！