2015-09-03 3 views
-2
// www.w3schools.com/php/func_mysqli_real_escape_string.asp 
$finding = mysqli_real_escape_string($connection, $_POST['finding']); 
$observation = mysqli_real_escape_string($connection, $_POST['observation']); 
$severity = mysqli_real_escape_string($connection, $_POST['severity']); 
$remediation = mysqli_real_escape_string($connection, $_POST['remediation']); 
$see_also = mysqli_real_escape_string($connection, $_POST['see_also']); 

$query = "INSERT INTO findings (modified, type, finding, observation, severity, remediation, see_also) VALUES (now(), '$_POST[type]', '$finding', '$observation', '$severity', '$remediation', '$see_also')"; 
$result = mysqli_query($connection, $query); 
confirm_query($result); 

Пример текста, чтобы в поле наблюдения: главная страница веб-сервера был уязвим.Разрешить поля содержит одинарную кавычку

+2

Если вы используете MySQLi, а затем использовать подготовленные заявления/связываемые переменные ...... это 2015 сейчас, а не 2005 –

ответ

-3
$query = "INSERT INTO findings (modified, type, finding, observation, severity, remediation, see_also) VALUES (now(), '".mysqli_real_escape_string($connection, $_POST['type'])."', '".$finding."', '".$observation."', '".$severity."', '".$remediation."', '".$see_also."')"; 
+0

addslashes ($ значения) также экранирует одиночные кавычки \» – futureweb

+0

Вашего решения не работает , Я тоже попробовал addlashes, теперь повезло. – Lee

+0

Нет, я просто добавил запятую к существующему запросу, не торопитесь просмотреть существующий запрос OP, и вы увидите, что я добавил только «..», и поскольку заголовок вопроса не совсем ясен, и не было никакого дополнительного описания, которое я сделал 't знать, если OP, как избежать одиночных кавычек в переменной или если OP ment позволяет одиночные кавычки, чтобы разграничить значения в sql – futureweb