escape_string, Automatyczne traktowanie danych przrz mysql_escape_strng Opcje

[JohnySpot]

Chciałbym rozszerzyć sobie mysqli o swoje własne query - takie, które wszystkie dane potraktuje mi przez escape_string i przez htmlspecialchars ENT_QUOTES. Ale nie mam zielonego pojęcia jak to wykonać.

[hwao]

Na szybko pisane:

[PHP] pobierz, plaintext 
<?php
/**
	 * Query
	 * 
	 * Pierwszy parametr to kod SQL, w ktorym kolejne znaki ? zostaja
	 * zastapione w kolejnosci podania parametrow. Dodatkowo parametry zastapiane pr
zez ? sa potraktowane mysql_escape_string() i htmlspecialchars()
	 *
	 * @param string $sSql
	 * @return resource
	 */
	function query( $sSql ) {
		$aParams = func_get_args();
		$i=1;
 
		$sSql = preg_replace( '@?@es', 'mysql_escape_string( htmlspecialchars( $aParams[$i++], ENT_QUOTES ) )', $sSql, count( $aParams ) );
 
		return $sSql; //mysql_query( $sSql );
	}
 
	echo query( 'Select * from ? where pole = ?', 'tabela', 1 );
?>
[PHP] pobierz, plaintext 

[JohnySpot]

Dzięki, ale nie o to mi chodziło. Mi chodziło o napisanie czegoś co dawałoby sobie radę z normalnym zapytanie takim już gotowym. Bez odatkowej tablicy parametrów.

[hwao]

Potencjalnie jest to możliwe, ale praktycznie bardzo ciezko i sie nie oplaca. Skrypt musial by parsowac INTELIGENTNIE sql do drzewka, nastepnie odpowiednie czesci prze filtrowac i na koncu zlozyc SQL. Samo napisanie kodu odpowiedzialnego za zamiene sql na drzewko to juz spore wyzwanie a co dopiero "system domyslania sie co jest co".

Te rozwiazanie co podałem jest najlepsze

[JohnySpot]

a czy gdybym całe $query włażył w $query = mysql_escape_string($query);

[nospor]

No to by bylo niepowazne

[SQL] pobierz, plaintext 
SELECT * FROM tabela WHERE pole='ala'
[SQL] pobierz, plaintext 

A po Twojej operacji by to wygladalo tak:

[SQL] pobierz, plaintext 
SELECT * FROM tabela WHERE pole=\'ala'
[SQL] pobierz, plaintext 

Bład skladni sql. Filtruje i zamienia sie pola, a nie cale zapytanie

[hwao]

mysql_escape_string" title="Zobacz w manualu php" target="_manual() jest po to zeby zamienic wszyskie znaki wystepujace w skladni SQL na "bezpieczne odpowiedniki" ktore nie sa interpretowane przez paser kodu SQL. Także jak dasz cały string, to zostanie on zamieniony na forme kompletnie "ingorowana"