php - mysql_real_escape_string（）は何もエスケープしていません

Question

1. INSERTステートメントとSELECTFROMステートメントの両方で実際のエスケープを使用する必要がありますか？

2. 次の例で使用している構文が機能しないのはなぜですか（これは私が試した多くの方法の1つにすぎません）。

   //insert user input for word 1
   $sql = "INSERT INTO test (Word1, Word2, Word3, Word4, Word5)
   VALUES('$Word1','$Word2','$Word3','$Word4','$Word5')",
   mysql_real_escape_string($Word1),
   mysql_real_escape_string($Word2),
   mysql_real_escape_string($Word3),
   mysql_real_escape_string($Word4),
   mysql_real_escape_string($Word5);
   if(!mysql_query($sql,$con))
   {
     die('Error: ' . mysql_error());
   }
   

Answer 1

sprintf（）を使用しようとしているようです。正しく使用するには、コードを少し再フォーマットする必要があります。

$sql = sprintf("INSERT INTO test (Word1, Word2, Word3, Word4, Word5)
VALUES('%s','%s','%s','%s','%s')",
mysql_real_escape_string($Word1),
mysql_real_escape_string($Word2),
mysql_real_escape_string($Word3),
mysql_real_escape_string($Word4),
mysql_real_escape_string($Word5)
);

Answer 2

完全にエスケープすることを避け、おそらくPDOを介してmysqli::prepareを使用してプリペアドステートメントに直接移動することを強くお勧めします。最終的には、よりシンプルで安全です。

$dsn = 'mysql:dbname=test;host=127.0.0.1';
$user = 'dbuser';
$password = 'dbpass';

$dbh = new PDO($dsn, $user, $password);

$sql =
    'INSERT INTO mytable ' .
    '(Word1, Word2, Word3, Word4, Word5)' .
    'VALUES(?, ?, ?, ?, ?)';

$stmt = $dbh->prepare($sql);

$words = array('word1', 'word2', 'word3', 'word4', 'word5');
$stmt->execute($words);

$words = array('word6', 'word7', 'word8', 'word9', 'word10');
$stmt->execute($words);