[請益] textarea無法存進mysql的text??

[NOXI (EZway)]

我用PHP5 Mysql5.5

1.我在Mysql建立一個table,內涵一個column格式是text



2.我用a.php  post textarea的資料到b.php (已經連結到mysql)

        $textarea=$_POST["textarea"];



3.我試著將textarea的資料寫入Mysql
        $add=insert into boards values('$textarea');
        mysql_query($add);



我的疑問:
 如果我輸入的資料是i'm xxx那sql指令會因為'符號的關係出錯是要如何避免這點呢?



--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.169.212.195
→ gname:1.把$add印出來看 2.看 error message
→ NOXI:$add能印出textarea的資料
→ NOXI:感謝大大,我知道為什麼了..因為我輸入的資料是I'm xxx
→ NOXI:有一個'符號...害我的mysql指令出錯
※ 編輯: NOXI            來自: 118.169.212.195      (10/29 18:16)
※ 編輯: NOXI            來自: 118.169.212.195      (10/29 18:17)
→ yade:用看看  stripslashes()?
推 mervynW:htmlspecailchar
→ buganini:純不推樓上
→ buganini:$add='insert into boards values ('.mres($txt).')';
→ buganini:mres()為mysql_real_escape_string() $txt為$textarea。
→ kerash:如果是用上一篇文章的 mysqli_query 好像可以不用 mres()
→ kerash:算是一個好處..但是老實說我很少看到用mysqli的QQ 學識淺薄
→ buganini:其實應該推mysqli 畢竟官方都說要丟掉mysql了
→ buganini:其實看php.net的example就很有幫助啦
→ kerash:由於是基於mysql的改善版，應該大多數函式是差個 i 而已
→ kerash:可能之後在應用的習慣上需要改(不用特別過濾字元了)
→ kerash:此外 mysqli 只有在 php5 可以跑的樣子
推 whatai:過濾字元的動作本身就很重要 不會因為sql可以接受
→ whatai:某些特殊字元就可以不去過濾
推 whatai:將' " `這些字元轉成 &qout;  之後echo會當成html的語法
→ MOONRAKER:mysqli不錯，跟舊的mysql函數幾乎一一對應
→ MOONRAKER:新手仍然可以看老式的教學，然後照著在mysqli上做
推 whatai:其實如果只為特殊字元沒必要去學mysqli
→ whatai:而且以後真的出去工作 要應用時見得會提供你mysqli的環境
→ whatai:除非你願意把現有的資料庫還有網頁 api等等重新包成mysqli
→ whatai:過濾字元 tag 一直都是很重要的工作 例如防護XSS sql注入
→ MOONRAKER:不見得會提供？我怎麼不知道mysqli還要另外裝？
→ MOONRAKER:現在誰的php老到沒有mysqli？都pdo了咧
→ MOONRAKER:sanitization撿framework裡面的來用，何必自己做輪子
推 kerash:有啦，如果是  php5 以下的好像就不能跑了XD...
→ MOONRAKER:還在５以下不容易吧 :|
→ buganini:應該很多公司還在用老code，阿不過這種公司就...
→ kerash:別懷疑 .. 我公司的中文網站還是php4 .. 我之前才要求更新
→ kerash:不過一更新整天公司的 mail 也會跟著停擺..所以還沒更新
→ shadowjohn:還很多地方還在用php4...但別小看他們整理的東西XD超強
→ herb123456:推mysqli跟pdo，與資料庫連結還是包成class才方便...
→ shadowjohn:只推pdo，有pdo當然用pdo XD