Tôi muốn có một hàm hoạt động dưới dạng mysql_real_escape_string mà không cần kết nối với cơ sở dữ liệu vì đôi khi tôi cần thực hiện thử nghiệm khô mà không có kết nối DB. mysql_escape_string không được dùng nữa và do đó không mong muốn. Một số phát hiện của tôi:

http://www.gamedev.net/community/forums/topic.asp?topic_id=448909

http://w3schools.invisionzone.com/index.php?showtopic=20064

Không thể thoát một chuỗi một cách an toàn mà không có kết nối DB. mysql_real_escape_string()và các câu lệnh đã chuẩn bị cần kết nối với cơ sở dữ liệu để chúng có thể thoát khỏi chuỗi bằng cách sử dụng bộ ký tự thích hợp - nếu không, các cuộc tấn công SQL injection vẫn có thể xảy ra bằng cách sử dụng các ký tự nhiều byte.

Nếu bạn chỉ đang thử nghiệm , thì bạn cũng có thể sử dụng mysql_escape_string(), nó không được đảm bảo 100% chống lại các cuộc tấn công SQL injection, nhưng không thể xây dựng bất cứ thứ gì an toàn hơn mà không có kết nối DB.

Vâng, theo trang tham chiếu hàm mysql_real_escape_string : "mysql_real_escape_string () gọi hàm thư viện của MySQL là mysql_real_escape_string, hàm này thoát khỏi các ký tự sau: \ x00, \ n, \ r, \, '," và \ x1a. "

Với ý nghĩ đó, thì chức năng được cung cấp trong liên kết thứ hai mà bạn đã đăng sẽ thực hiện chính xác những gì bạn cần:

function mres($value)
{
    $search = array("\\",  "\x00", "\n",  "\r",  "'",  '"', "\x1a");
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");

    return str_replace($search, $replace, $value);
}

Đối lập trực tiếp với câu trả lời khác của tôi, hàm sau đây có thể an toàn, ngay cả với các ký tự nhiều byte.

// replace any non-ascii character with its hex code.
function escape($value) {
    $return = '';
    for($i = 0; $i < strlen($value); ++$i) {
        $char = $value[$i];
        $ord = ord($char);
        if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
            $return .= $char;
        else
            $return .= '\\x' . dechex($ord);
    }
    return $return;
}

Tôi hy vọng ai đó hiểu biết hơn bản thân tôi có thể cho tôi biết tại sao đoạn mã trên không hoạt động ...

Từ nghiên cứu sâu hơn, tôi đã tìm thấy:

http://dev.mysql.com/doc/refman/5.1/en/news-5-1-11.html

Khắc phục bảo mật:

Một lỗ hổng bảo mật SQL-injection đã được tìm thấy trong quá trình xử lý mã hóa nhiều byte. Lỗi nằm trong máy chủ, phân tích cú pháp sai chuỗi được thoát bằng hàm API mysql_real_escape_string () C API.

Lỗ hổng này được phát hiện và báo cáo bởi Josh Berkus và Tom Lane như một phần của sự hợp tác bảo mật liên dự án của tập đoàn OSDB. Để biết thêm thông tin về SQL injection, vui lòng xem văn bản sau.

Thảo luận. Một lỗ hổng bảo mật của SQL injection đã được tìm thấy trong quá trình xử lý mã hóa nhiều byte. Lỗ hổng bảo mật chèn SQL có thể bao gồm một tình huống trong đó khi người dùng cung cấp dữ liệu để chèn vào cơ sở dữ liệu, người dùng có thể đưa câu lệnh SQL vào dữ liệu mà máy chủ sẽ thực thi. Liên quan đến lỗ hổng này, khi sử dụng tính năng thoát không nhận biết bộ ký tự (ví dụ: addlash () trong PHP), có thể bỏ qua việc thoát trong một số bộ ký tự nhiều byte (ví dụ: SJIS, BIG5 và GBK). Do đó, một hàm như addlash () không thể ngăn chặn các cuộc tấn công SQL-injection. Không thể sửa lỗi này ở phía máy chủ. Giải pháp tốt nhất là các ứng dụng sử dụng tính năng thoát nhận biết bộ ký tự được cung cấp bởi một hàm như mysql_real_escape_string ().

Tuy nhiên, một lỗi đã được phát hiện trong cách máy chủ MySQL phân tích cú pháp đầu ra của mysql_real_escape_string (). Kết quả là, ngay cả khi hàm nhận biết bộ ký tự mysql_real_escape_string () được sử dụng, vẫn có thể đưa vào SQL. Lỗi này đã được cố định.

Cách giải quyết. Nếu bạn không thể nâng cấp MySQL lên phiên bản bao gồm bản sửa lỗi trong phân tích cú pháp mysql_real_escape_string (), nhưng chạy MySQL 5.0.1 trở lên, bạn có thể sử dụng chế độ SQL NO_BACKSLASH_ESCAPES như một giải pháp thay thế. (Chế độ này đã được giới thiệu trong MySQL 5.0.1.) NO_BACKSLASH_ESCAPES cho phép chế độ tương thích chuẩn SQL, trong đó dấu gạch chéo ngược không được coi là một ký tự đặc biệt. Kết quả là các truy vấn sẽ không thành công.

Để đặt chế độ này cho kết nối hiện tại, hãy nhập câu lệnh SQL sau:

SET sql_mode='NO_BACKSLASH_ESCAPES';

Bạn cũng có thể đặt chế độ trên toàn cầu cho tất cả các máy khách:

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES';

Chế độ SQL này cũng có thể được bật tự động khi máy chủ khởi động bằng cách sử dụng tùy chọn dòng lệnh --sql-mode = NO_BACKSLASH_ESCAPES hoặc bằng cách đặt sql-mode = NO_BACKSLASH_ESCAPES trong tệp tùy chọn máy chủ (ví dụ: my.cnf hoặc my.ini , tùy thuộc vào hệ thống của bạn). (Lỗi # 8378, CVE-2006-2753)

Xem thêm Lỗi # 8303.