cómo escapar comillas cuando se inserta en la base de datos con PHP

Question

estoy bastante nuevo en PHP lo siento si los sonidos un problema tan fácil ... :)

estoy teniendo un mensaje de error al insertar contenidos que contiene comillas en mi db. aquí es lo que traté tratando de escapar de las comillas, pero no funcionó:

$con = mysql_connect("localhost","xxxx","xxxxx"); 
if (!$con) 
    { 
    die('Could not connect: ' . mysql_error()); 
    } 

mysql_select_db("test", $con); 

$nowdate = date('d-m-Y') 

$title = sprintf($_POST[title], mysql_real_escape_string($_POST[title])); 

$body = sprintf($_POST[body], mysql_real_escape_string($_POST[body])); 

$sql="INSERT INTO articles (title, body, date) VALUES ('$title','$body','$nowdate'),"; 

if (!mysql_query($sql,$con)) 
    { 

die('Error: ' . mysql_error()); 

} 

header('Location: index.php'); 

Podría dar alguna solución por favor?

Gracias de antemano.

Mauro

Answer 1

que debería funcionar sin el material sprintf

$title = mysql_real_escape_string($_POST[title]); 
$body = mysql_real_escape_string($_POST[body]); 

Answer 2

Con cualquier consulta de bases de datos, especialmente inserta desde una aplicación basada en web, debe ser realmente el uso de parámetros. Consulte aquí para obtener ayuda de PHP sobre cómo usar los parámetros en sus consultas: PHP parameters

Esto ayudará a prevenir los ataques de inyección de SQL y evitará tener que escapar de los caracteres.

Answer 3

Su código

$sql="INSERT INTO articles (title, body, date) VALUES ('$title','$body','$nowdate'),"; 

debe ser el siguiente

$sql="INSERT INTO articles (title, body, date) VALUES ('$title','$body','$nowdate')"; 

coma no debería estar ahí al final de la consulta

Answer 4

Por favor, comience a usar instrucciones con parámetros preparados. Eliminan la necesidad de escapes de SQL y cierran la brecha de inyección de SQL que las sentencias SQL concatenadas con cadenas dejan abiertas. Además, son mucho más agradables para trabajar y mucho más rápidos cuando se utilizan en un ciclo.

$con = new mysqli("localhost", "u", "p", "test"); 
if (mysqli_connect_errno()) die(mysqli_connect_error()); 

$sql = "INSERT INTO articles (title, body, date) VALUES (?, ?, NOW())"; 
$stmt = $con->prepare($sql); 
$ok = $stmt->bind_param("ss", $_POST[title], $_POST[body]); 

if ($ok && $stmt->execute()) 
    header('Location: index.php'); 
else 
    die('Error: '.$con->error);