PHP MySQLi mysqli_real_escape_string()

mysqli_real_escape_string()

Funkcija mysqli_real_escape_string() je ključno orodje za gradnjo varnih poizvedb. Njena naloga je, da ubeži posebne znake v nizu, preden jih vstavimo v SQL stavek.

PRIMER

<?php
$streznik = "localhost";
$uporabniskoIme = "root";
$geslo = "";
$baza_podatkov = "mysqli_baza_podatkov";

$povezava = mysqli_connect($streznik, $uporabniskoIme, $geslo, $baza_podatkov);

if (mysqli_connect_errno()) {
    echo "Povezava ni uspela: " . mysqli_connect_error();
    exit();
}

// Uporabniški vnos, ki vsebuje nevaren enojni narekovaj (')
$vnos_sadez = "O'Brian Fige";
$vnos_zelenjava = "Bučke";

// Očistimo nize pred vnosom v bazo
// OPOMBA: Ta funkcija pregleda niz in nevarnim znakom doda zaščitno
// poševnico (\). Ker funkcija potrebuje informacije o trenutno nastavljenem naboru
// znakov (charset) na bazi, moramo kot prvi parameter nujno poslati objekt $povezava.
$sadez = mysqli_real_escape_string($povezava, $vnos_sadez);
$zelenjava = mysqli_real_escape_string($povezava, $vnos_zelenjava);

$sql = "INSERT INTO mysqli_tabela (sadez, zelenjava) VALUES ('$sadez', '$zelenjava')";

if (mysqli_query($povezava, $sql)) {
    // affected_rows vrne 1 (ena uspešno vstavljena vrstica)
    printf("Uspešno vstavljenih vrstic: %d<br>", mysqli_affected_rows($povezava));
    // Ker ima tabela že 4 vrstice, bo naslednji avtomatski ID številka 5
    printf("Zadnji zapis ima ID: %d", mysqli_insert_id($povezava));
}

mysqli_close($povezava);
?>

REZULTAT

Tu bo prikazan rezultat...

S tem preprečimo napade s SQL vbrizgavanjem (SQL Injection). Če uporabnik v obrazec vpiše npr. narekovaj, ga funkcija spremeni v \', s čimer zagotovi, da ga baza obravnava kot navadno besedilo in ne kot del ukaza.

Obvezna uporaba za vse besedilne podatke, ki jih vnašajo uporabniki.

Zahteva aktivno povezavo z bazo, da upošteva trenutni nabor znakov (charset).

Ne ščiti pred napadi na številčna polja (tam uporabimo intval()).