php - PHPMysqlクエリでのアポストロフィを使用したベストプラクティス

Question

文字列内に一致しない「'」がある場合、phpからsql更新クエリを送信するときにアポストロフィが問題になる可能性があります。この問題を克服するためのベストプラクティスは何ですか？

ありがとう

Answer 1

PDO：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username');
$stmt->execute(array(':username' => $_GET['username']));

MySQLi：

$query = $mysqli->prepare('SELECT * FROM users WHERE username = s');
$query->bind_param('s', $_GET['username']);

これらの拡張機能には、準備されたクエリを作成するための組み込み関数があり、引用符とアポストロフィを問題なく使用できます。

Answer 2

ベストプラクティスはプリペアドステートメントを使用することだと思いますが、addslashes($string)andstripslashes($string)関数も使用できます。