mysqli объект ориентированный реальный escape строка

Question

Я новичок в Mysqli и PHP и хочу научиться использовать объектно-ориентированный код вместо процедурного. Однако я пытаюсь преобразовать mysqli_real_escape_string объектно-ориентированным способом. В приведенном ниже коде я использовал процедурный код, потому что я не знаю, как использовать объектно-ориентированный способ, и поиски Google не предоставляют ответы, которые я ищу.

$sql = "SELECT email FROM `users` WHERE email = '".mysqli_real_escape_string($link, $_POST['email'])."'LIMIT 1"; 

     $result = $link->query($sql); 

    if($result->num_rows > 0) { 

     echo "The email " .$_POST['email']. " is already taken"; 

    } else { 

     echo $_POST['email']; 
    } 


} 

В реальном мире я бы иметь какое-то проверку на полях ввода, но и для обучения цели для себя, у меня нет проверки. При этом, если кто-то должен был перейти на страницу регистрации, они могли бы использовать SQL-инъекцию. Я пытаюсь предотвратить это в коде, который проверяет, существует ли адрес электронной почты. Из того, что я прочитал, mysqli_real_escape_string используется для предотвращения внедрения SQL и использования чего-то типа htmlspecialchars для предотвращения XSS. Я пытаюсь предотвратить SQL-инъекцию в этом конкретном примере.

Answer 1

В случае OO вы используете $link->real_escape_string($_POST['email']). В вашем примере вы используете процедурный способ mysqli_reql_escape_string.

Я вижу:

<script>alert("Here is an alert");</script>

вместо все водослива & альта вещи, которые я должен видеть, если бы я сделал это правильно.

Для второй части, я думаю вы Ошибочноreal_escape_string и html_special_chars.
mysqli_real_escape_stringне конвертирует объекты, oposite html_special_chars.

SQL не требует специальных символов, преобразованных в объекты с тех пор. Вы не можете ожидатьmysqli_real_escape_string, чтобы вернуть вас закодированные объекты.

Вкратце, вы не нужны объекты, закодированные для запроса mysql. Только специальные символы mysql, которые могут «навредить» запросу

Answer 2

mysqli_real_escape_string просто предназначен для безопасного использования строки из пространства пользователя в запросе базы данных (известной как атаки SQL-инъекций). В вашем случае электронная почта (код js) правильно вставлена ​​в БД. Вы можете даже использовать «вместо» теперь, не получив ошибку Mysql.

Но вы хотите отображать данные из пользовательского пространства на веб-сайте HTML, для чего требуется другая модификация для предотвращения межсайтового скриптинга: https://secure.php.net/manual/de/function.htmlentities.php

ТЛ; др:

mysqli_real_escape_string (или его эквивалент ООП) сбегает символы, которые вызывают проблемы в запросе к базе данных, как ' становится \'

htmlentities изменяет символы на соответствующий html-объект, т.е. < преобразуется в <