如何使用 PHP 安全地转义 SQL Server 查询中的字符串？

使用 PHP 在 SQL Server 中转义字符串：综合指南

使用 PHP 处理 SQL Server 时，保护您的数据至关重要通过正确转义字符串进行 SQL 注入攻击。这是一种防止恶意输入被解释为 SQL 命令的技术。

mysql_real_escape_string() 的替代方法

与 MySQL 不同，SQL Server 不提供内置的相当于 mysql_real_escape_string() 的函数。

Enter addslashes()

addslashes() 是一个 PHP 函数，通常被认为是字符串转义的潜在替代方法。但是，需要注意的是，addslashes() 并不完全适合与 SQL Server 数据库一起使用。

更强大的解决方案

理想的解决方案是手动编码数据为十六进制字节串。下面是一个指导您的代码片段：

$unpacked = unpack('H*hex', $data);
mssql_query('
    INSERT INTO sometable (somecolumn)
    VALUES (0x' . $unpacked['hex'] . ')
');

可重用转义的抽象

要简化和重用转义过程，您可以创建一个如下所示的自定义函数：

function mssql_escape($data) {
    if(is_numeric($data))
        return $data;
    $unpacked = unpack('H*hex', $data);
    return '0x' . $unpacked['hex'];
}

mssql_query('
    INSERT INTO sometable (somecolumn)
    VALUES (' . mssql_escape($somevalue) . ')
');

替代mysql_error()

对于错误处理，SQL Server 提供了 mssql_get_last_message() 作为 mysql_error() 的替代。

以上是如何使用 PHP 安全地转义 SQL Server 查询中的字符串？的详细内容。更多信息请关注PHP中文网其他相关文章！