php - 将数据保存到sql server时如何将符号'更改为`

Question

嗨，我有一个字段要填写全名，该字段只允许使用字母，签名 '（撇号），@当我尝试使用 mysql 时，一切都很好，但是当我想将数据发送到另一个使用 sql server 的 Web 服务时.

问题是符号'（撇号）并给我错误，因为在sql脚本中，有像 Insert into table1 values ('','') 这样的脚本

那么如何在保存到数据库之前将符号'（撇号）替换为`（重音）

标签： phpsql-serverlaravelcharactersymbols

Answer 1

您刚刚偶然发现了一个重要的安全漏洞：您的用户输入会影响您的 SQL 查询。很高兴看到您尝试为自己解决问题，但您的解决方案仍然存在问题：如果我向您的服务器发送带有全名的恶意请求，会发生什么Hans'; DELETE * FROM users --？这种攻击称为“SQL 注入”，是对服务器最常见的攻击之一。

TL；DR：使用ALWAYS准备好的语句，您就可以保存