Правильный способ избежать строки после замены котировок?

Question

Это правильный способ избежать строки на всякий случай, или я могу вставить строку, подобную этой, без дополнительного экранирования?

$filenamefordb = preg_replace('/[^A-Za-z0-9а-яА-Я_\.\-]/u', '', $filenamefordb); 
$query = "INSERT INTO file SET filename='$filenamefordb"; 

Я не использую mysqli_escape, потому что мне также нужно имя без кавычек в другом месте

Answer 1

Почему вы не избежать строки с использованием PDO?

<?php 
    $conn = new PDO('sqlite:/home/lynn/music.sql3'); 

    /* Complex string */ 
    $string = "Co'mpl''ex \"st'\"ring"; 
    print "Unquoted string: $string\n"; 
    print "Quoted string: " . $conn->quote($string) . "\n"; 
?> 

Это выведет

Unquoted string: Co'mpl''ex "st'"ring 
Quoted string: 'Co''mpl''''ex "st''"ring' 

Ссылка: http://php.net/manual/it/pdo.quote.php

Answer 2

вы можете избежать его с помощью обобщенной функции PHP:

$filenamefordb = mysql_escape_string ($filenamefordb); 
$query = "INSERT INTO file SET filename='$filenamefordb";