PHP/MySQL - Miglior uso e la pratica di sfuggire stringhe

Question

Possible Duplicate:
Best way to prevent SQL Injection in PHP

Qual è il modo migliore per sfuggire stringhe quando si effettua una ricerca? mysql_real_escape_string() sembra buono ma non so esattamente come usarlo correttamente.

Questo codice esegue correttamente il lavoro?

<?php 
    /* Let's say that the user types "'#""#''"\{(})#&/\€ in a textfield */ 
    $newStr = mysql_real_escape_string($str); 
    $query = "INSERT INTO table username VALUES ($str)"; 
    mysql_query($query); 
?> 

EDIT:

Ora ho questo codice:

 $email = $_POST['email']; 
    $displayName = $_POST['displayName']; 
    $pass = $_POST['pass1']; 

    $email = mysqli_real_escape_string($link, $email); 
    $displayName = mysqli_real_escape_string($link, $displayName); 
    $pass = mysqli_real_escape_string($link, $pass); 

    $insert = "INSERT INTO profiles (email, displayName, password) 
    VALUES ('$email', '$displayName', md5('$pass'))"; 
    mysqli_query($link, $insert) 
    or die(mysqli_error($link)); 

ma ottengo questo errore: Hai un errore nella sintassi SQL; controllare il manuale che corrisponde alla versione del server MySQL per la sintassi diritto di utilizzare vicino a '! "#! # ^!" #! " #!" #^'' '' '' at line 1

Se l'utente inserisce: '**! "#! # ^!" #! "* #!" # ^' '' '

Answer 1

Il modo migliore è di non scappare affatto dalla stringa, ma utilizzare invece un parametro query, che fa per te dietro le quinte.

Answer 2

Utilizzando mysql_real_escape_string così funzionerà, ma è necessario:

• Aggiungere le virgolette intorno al valore.
• Utilizzare il risultato $newStr, non il valore originale $str.
• Modificare il tablename in un nome che non è una parola chiave riservata.
• Aggiungi parentesi intorno all'elenco delle colonne.

Prova questo:

$query = "INSERT INTO yourtable (username) VALUES ('$newStr')"; 

Suggerisco inoltre di controllare il risultato di mysql_query($query) e se c'è un errore, è possibile esaminare il messaggio di errore:

if (!mysql_query($query)) 
{ 
    trigger_error(mysql_error()); 
} 

Si dovrebbe anche considera l'utilizzo di una delle interfacce più recenti per MySQL. Le vecchie funzioni mysql_* sono deprecated e non devono essere utilizzate nel nuovo codice.