如何使用 PHP 转义 SQL Server 中的字符串？

Question

我正在为 SQL Server 寻找 mysql_real_escape_string() 的替代品。 addslashes() 是我的最佳选择还是可以使用其他替代功能？

mysql_error() 的替代方案也很有用。

Answer 1

addslashes() 还不够，但是 PHP 的 mssql 包没有提供任何不错的替代方案。丑陋但完全通用的解决方案是将数据编码为十六进制字节串，即

$unpacked = unpack('H*hex', $data);
mssql_query('
    INSERT INTO sometable (somecolumn)
    VALUES (0x' . $unpacked['hex'] . ')
');

抽象，那就是：

function mssql_escape($data) {
    if(is_numeric($data))
        return $data;
    $unpacked = unpack('H*hex', $data);
    return '0x' . $unpacked['hex'];
}

mssql_query('
    INSERT INTO sometable (somecolumn)
    VALUES (' . mssql_escape($somevalue) . ')
');

mysql_error() 等效于 mssql_get_last_message()。

Answer 2

function ms_escape_string($data) {
        if ( !isset($data) or empty($data) ) return '';
        if ( is_numeric($data) ) return $data;

        $non_displayables = array(
            '/%0[0-8bcef]/',            // url encoded 00-08, 11, 12, 14, 15
            '/%1[0-9a-f]/',             // url encoded 16-31
            '/[\x00-\x08]/',            // 00-08
            '/\x0b/',                   // 11
            '/\x0c/',                   // 12
            '/[\x0e-\x1f]/'             // 14-31
        );
        foreach ( $non_displayables as $regex )
            $data = preg_replace( $regex, '', $data );
        $data = str_replace("'", "''", $data );
        return $data;
    }

这里的一些代码是从 CodeIgniter 中抄袭而来的。效果很好，是一个干净的解决方案。

编辑： 上面的代码 sn-p 有很多问题。请不要在未阅读 cmets 了解它们是什么的情况下使用它。更好的是，请不要使用它。参数化查询是你的朋友：http://php.net/manual/en/pdo.prepared-statements.php

Answer 3

当您可以在查询中使用参数时，为什么还要费心转义任何内容？！

sqlsrv_query(
    $connection, 
    'UPDATE some_table SET some_field = ? WHERE other_field = ?', 
    array($_REQUEST['some_field'], $_REQUEST['id'])
)

无论您的值参数是否为null，它都适用于选择、删除、更新。 做一个原则问题 - 不要连接 SQL，你总是安全的，你的查询读起来更好。

http://php.net/manual/en/function.sqlsrv-query.php

Answer 4

您可以查看PDO Library。您可以将预准备语句与 PDO 一起使用，如果您正确执行预准备语句，它将自动转义字符串中的任何坏字符。我认为这仅适用于 PHP 5。

Answer 5

处理单引号和双引号的另一种方法是：

function mssql_escape($str)
{
    if(get_magic_quotes_gpc())
    {
        $str = stripslashes($str);
    }
    return str_replace("'", "''", $str);
}

Answer 6

为了转义单引号和双引号，您必须将它们加倍：

$value = 'This is a quote, "I said, 'Hi'"';

$value = str_replace( "'", "''", $value ); 

$value = str_replace( '"', '""', $value );

$query = "INSERT INTO TableName ( TextFieldName ) VALUES ( '$value' ) ";

等等……

和署名：Escape Character In Microsoft SQL Server 2000

Answer 7

在为此苦苦挣扎了几个小时后，我想出了一个感觉几乎是最好的解决方案。

Chaos 将值转换为十六进制字符串的答案不适用于每种数据类型，尤其是日期时间列。

我使用 PHP 的 PDO::quote()，但由于 PHP 自带，PDO::quote() 不支持 MS SQL Server 并返回 FALSE。它的工作解决方案是下载一些 Microsoft 捆绑包：

• Microsoft Drivers 3.0 for PHP for SQL Server (SQLSRV30.EXE)：下载并按照说明进行安装。
• Microsoft® SQL Server® 2012 Native Client：在扩展页面中搜索 Native Client。 虽然是 2012 年，我还是用它来连接 SQL Server 2008（安装 2008 Native Client 没有用）。下载并安装。

之后，您可以使用 DSN 在 PHP 中连接 PDO，如下例所示：

sqlsrv:Server=192.168.0.25; Database=My_Database;

在 DSN 中使用 UID 和 PWD 参数不起作用，因此在创建连接时，用户名和密码作为 PDO 构造函数的第二个和第三个参数传递。 现在你可以使用 PHP 的PDO::quote()。享受吧。

Answer 8

警告：此函数已在 PHP 7.0.0 中删除。

http://php.net/manual/en/function.mssql-query.php

对于仍在使用这些 mssql_* 函数的任何人，请记住，从 v7.0.0 开始，它们已从 PHP 中删除。因此，这意味着您最终必须重写模型代码以使用 PDO 库、sqlsrv_* 等。如果您正在寻找具有“引用/转义”方法的东西，我会推荐 PDO。

此函数的替代方法包括：PDO::query()、sqlsrv_query() 和 odbc_exec()

Answer 9

An answer from 2009-02-22T121000 by user chaos 不适合所有查询。

例如，“CREATE LOGIN [0x6f6c6f6c6f] FROM WINDOWS”会给你一个例外。

PS：查看 PHP 的 SQL Server 驱动程序，http://msdn.microsoft.com/library/cc296181%28v=sql.90%29.aspx 和 sqlsrv_prepare 函数，它可以绑定参数。

PSS：上面的查询也没有帮助您；）

Answer 10

如果您使用的是 PDO，则可以使用 PDO::quote 方法。

Answer 11

为了将 SQL 中的十六进制值转换回 ASCII，这是我得到的解决方案（使用the function from user chaos 编码为十六进制）

function hexEncode($data) {
    if(is_numeric($data))
        return $data;
    $unpacked = unpack('H*hex', $data);
    return '0x' . $unpacked['hex'];
}

function hexDecode($hex) {
    $str = '';
    for ($i=0; $i<strlen($hex); $i += 2)
        $str .= chr(hexdec(substr($hex, $i, 2)));
    return $str;
}

$stringHex = hexEncode('Test String');
var_dump($stringHex);
$stringAscii = hexDecode($stringHex);
var_dump($stringAscii);

Answer 12

最好也转义 SQL 保留字。例如：

function ms_escape_string($data) {
    if (!isset($data) or empty($data))
        return '';

    if (is_numeric($data))
        return $data;

    $non_displayables = array(
        '/%0[0-8bcef]/',        // URL encoded 00-08, 11, 12, 14, 15
        '/%1[0-9a-f]/',         // url encoded 16-31
        '/[\x00-\x08]/',        // 00-08
        '/\x0b/',               // 11
        '/\x0c/',               // 12
        '/[\x0e-\x1f]/',        // 14-31
        '/\27/'
    );
    foreach ($non_displayables as $regex)
        $data = preg_replace( $regex, '', $data);
    $reemplazar = array('"', "'", '=');
    $data = str_replace($reemplazar, "*", $data);
    return $data;
}

Answer 13

我一直使用它作为mysql_real_escape_string() 的替代品：

function htmlsan($htmlsanitize){
    return $htmlsanitize = htmlspecialchars($htmlsanitize, ENT_QUOTES, 'UTF-8');
}
$data = "Whatever the value's is";
$data = stripslashes(htmlsan($data));

Answer 14

您可以使用以下正则表达式滚动您自己的mysql_real_escape_string 版本（并对其进行改进）：[\000\010\011\012\015\032\042\047\134\140]。这会处理以下字符：null、退格、水平制表符、换行符、回车、替换、双引号、单引号、反斜杠、重音符。 mysql_real_escape_string 不支持退格和水平制表符。