Блог

У меня есть ряд переменных сеанса в массиве. Когда я использую кавычки в одной из моих строковых переменных, я пытаюсь добавить косые черты, чтобы в конечном итоге вставить их в базу данных, но функция addslashes () не работает. Вот пример.

В поле комментариев я пишу это:

Это «комментарий»

Я понимаю, что это проблема, поэтому я добавил функцию, прежде чем вводить ее в базу данных, которая выполняется через ряд переменных сеанса, включая переменную comments.

 $strip_fields = array($_SESSION['comments'],$_SESSION['employee_id'],$_SESSION['approved_by'],$_SESSION['delivery_email'],$_SESSION['full_name'],$_SESSION['first_name'],$_SESSION['last_name']);

        foreach($strip_fields as $key => $value) {
            $key = addslashes($key);
        }
  

После запуска этой функции я пытаюсь отобразить переменную комментариев $_SESSION[‘comments’]

Это «комментарий»

Итак, я вижу, что функция addslashes почему-то работает не так, как я ее использую. Почему функция addslashes работает не так, как я ее использую?

ЭТО МОЕ РЕШЕНИЕ (я использовал немного из обоих предложений)

 $strip_fields = array(
            'employee_id', 'approved_by', 'delivery_email', 'full_name', 
            'first_name', 'last_name', 'title', 'title_2', 'dept_div', 
            'dept_div_2', 'email', 'comments', 'special_instructions'
        );

        foreach($strip_fields as $key) {
            $_SESSION[$key] = $conn->real_escape_string($_SESSION[$key]);
        }
  

Ваш вопрос подразумевает, что вы на самом деле хотите изменить содержимое вашей $_SESSION переменной, но это не кажется хорошей идеей, поскольку в конечном итоге вы просто будете добавлять косые черты снова и снова при каждом вызове скрипта (просто наблюдение без просмотра всего вашего кода).

Кроме того, вы не должны использовать addslashes для экранирования базы данных, поскольку каждая база данных (или уровень абстракции базы данных) имеет свой собственный способ экранирования данных (например, mysql_real_escape_string или подготовленные инструкции PDO).

Кроме того, $_SESSION и база данных — это разные способы сохранения данных, и вполне может быть, что их смешивание — плохой выбор дизайна.

РЕДАКТИРОВАТЬ ПОСЛЕ КОММЕНТАРИЯ…

Если вы хотите поместить все эти переменные в базу данных, а до этого они были в $_SESSION (что, как указывалось ранее, может быть не лучшей идеей), и вы используете модуль mysql php, тогда вы могли бы сделать что-то вроде:

 $db_names=array(
    "comments",
    "employee_id",
    "approved_by",
    "full_name",
    "first_name",
    "last_name"
);
$clean=array();
foreach($db_names as $name)
    $clean[$name]=mysql_real_escape_string($_SESSION[$db_name]);
mysql_query("
        INSERT INTO comments_table 
        (
            comments,
            employee_id,
            approved_by,
            full_name,
            first_name,
            last_name
        )
        VALUES
        (
            '{$clean["comments"]}',
            '{$clean["employee_id"]}',
            '{$clean["approved_by"]}',
            '{$clean["full_name"]}',
            '{$clean["first_name"]}',
            '{$clean["last_name"]}'
        )
");
  

Однако лучше не использовать модуль mysql, а вместо этого использовать mysqli или PDO. У каждого есть разные (и лучшие, по ряду причин) способы экранирования строк.

Здесь есть несколько ошибок:

1. Вы копируете значения в $_SESSION в новые переменные.
2. Вы передаете ключи в addslashes() , но вы поместили значения в значения массива.
3. foreach() копирует значения из массива в $key и $value , таким образом, вы работаете с копией копии.

Вы должны иметь возможность использовать ссылки для этого, но я думаю, что пропуская их, будет понятнее.

 $strip_fields = array(
        'comments', 'employee_id', 'approved_by', 'delivery_email', 
        'full_name', 'first_name', 'last_name']
    );

foreach($strip_fields as $key) {
    $_SESSION[$key] = addslashes($_SESSION[$key]);
}
  

НЕ ИСПОЛЬЗУЙТЕ addslashes() ДЛЯ ЭКРАНИРОВАНИЯ ЗНАЧЕНИЙ ДЛЯ SQL-ЗАПРОСА! (извините за крик)

В случае MySQL ваш выбор mysql_real_escape_string() но у других движков есть свои собственные escape-функции. addslashes() удивительно легко «обмануть», если вы пытаетесь выполнить атаку с использованием SQL-инъекции.

Лучшее, что вы могли бы сделать, это не экранировать $_SESSION саму себя, а создать копию и использовать array_map() вместе с mysql_real_escape_string() . Таким образом, вы также можете сохранить исходную версию без экранирования.

 $escaped_SESSION=array_map('mysql_real_escape_string', $_SESSION);
  

Другие уже объясняли, почему foreach это не лучший выбор для манипулирования вашим массивом. Она работает с копией массива, на котором вы ее запускаете. array_map() применит обратный вызов ко всем элементам вашего массива и вернет результирующий массив.

 $array = array('comment' => $_SESSION['comment'], 'employee_id' => $_SESSION['employee_id']);  // other keys of session

foreach(array_keys($array) as $value){
    $array[$value] = addslashes($array[$value]);
}
  

используйте $array вместо использования $ _SESSION.

Вам нужно сохранить результирующее значение обратно в значение, которое вы повторяете

 $strip_fields = array($_SESSION['comments'],$_SESSION['employee_id'],$_SESSION['approved_by'],$_SESSION['delivery_email'],$_SESSION['full_name'],$_SESSION['first_name'],$_SESSION['last_name']);

    foreach($strip_fields as $key => $value) {
        $strip_fields[$key] = addslashes($value); // Store it back into the strip_fields var
    }
  

Также, как отметил @Gaurav, вы хотите очистить данные массива, а не индекс / ключ.