реализация строки escape-последовательности MYSQL

Question

У меня есть простая страница опроса, которую я пытался сделать. Все работало хорошо, за исключением случаев, когда я использовал одну цитату в своем комментарии на странице опроса. Когда у меня был комментарий с одной цитатой в нем, запрос БД не вставлялся в БД.

После некоторого Googleing я предположил, что мне нужно было избежать строки, прежде чем вставлять ее в БД. Я использовал mysqli_real_escape_string, чтобы избежать строки до INSERTing в БД, но это, похоже, не помогло.

Вот мой код, который вставляет комментарии пользователя в БД ($ CON не показан для безопасности)

mysqli_real_escape_string($con,$_POST['question_1']); 
    mysqli_real_escape_string($con,$_POST['question_2']); 
    mysqli_real_escape_string($con,$_POST['question_3']); 
    mysqli_real_escape_string($con,$_POST['question_4']); 
    mysqli_real_escape_string($con,$_POST['question_5']); 

    mysqli_query($con, "INSERT INTO feedback (question_1, question_2, question_3, question_4, question_5) VALUES ('$_POST[question_1]', '$_POST[question_2]', '$_POST[question_3]', '$_POST[question_4]', '$_POST[question_5]')"); 

Опять же, это происходит только тогда, когда комментарий содержит апостроф. Какие-либо предложения? Не удалось ли я избежать строки?

Answer 1

Вы не поняли, что происходит здесь

mysqli_real_escape_string($con,$_POST['question_1']); 

Эта функция возвращает беглую строку. Затем вы используете эту строку в своем SQL

$question1 = mysqli_real_escape_string($con,$_POST['question_1']); 
//Do your other escapes here 
mysqli_query($con, "INSERT INTO feedback (question_1, question_2, question_3, question_4, question_5) 
    VALUES ('$question1', ...)"); 

Лучшее решение здесь - подготовленные заявления. Это не требует от вас ничего. Данные передаются отдельно и обрабатывают соответствующим образом

$prep = mysqli_prepare($con, 'INSERT INTO feedback (question_1, question_2, question_3, question_4, question_5) 
    VALUES (?, ?, ?, ?, ?)'); 
mysqli_stmt_bind_param($prep, "sssss", $_POST['question_1'], $_POST['question_2'], $_POST['question_3'], $_POST['question_4'], $_POST['question_5']); 
mysqli_stmt_execute($prep);