Блог

Недавно у меня возникла проблема с тем, что вставка В не работает должным образом при вставке определенных строк. Я обнаружил, что причиной была строка, содержащая апострофы, которые мешали моему коду. Чтобы решить эту проблему, я пытался использовать mysql_real_escape_string() , но это ничего не даст. Я читал, что предполагается вставлять перед каждым «опасным» специальным символом, но когда я повторяю результат mysql_real_escape_string() , он показывает мне ту же строку до и после, без s. Как мне это исправить? Вот мой код…

 <?php 

include "connect.php";  //connect.php connects to the database.

mysql_real_escape_string($_POST['username']);
mysql_real_escape_string($_POST['password']);
mysql_real_escape_string($_POST['sdNamer']);
mysql_real_escape_string($_POST['sdTrunk']);
//$_POST['username'] and the rest is the data entered by the user. 
$username = $_POST['username'];
$password = $_POST['password'];
$sdName = $_POST['sdNamer'];
$sdTrunkest = $_POST['sdTrunk'];

$sql = "INSERT INTO users (username, password, user_bio, starterDeck, Trunk) VALUES ('$username', '$password', 'User', '$sdName', '$sdTrunkest')";
//INSERT INTO won't work, because $sdTrunkest has string that contains an apostrophe, and mysql_real_escape_string isn't doing anything about it.
mysql_query($sql); 
exit("result_message=Success");
?>
  

mysql_real_escape_string() возвращает измененную строку, но вы ничего не делаете с этой строкой. Вы, по сути, не используете mysql_real_escape_string() . Используйте возвращаемое значение вместо исходного неизмененного значения:

 $username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']);
// etc...
  

Кроме того, в качестве дополнительного примечания, есть еще две серьезные проблемы с вашим кодом:

1. Больше не используйте mysql_* функции. Обновите свой код. (Прочтите введение здесь, чтобы начать.)
2. Вы храните пароли в обычном формате next. Никогда не храните пароли в виде обычного текста.