mysql_real_escape_string

定义和用法:该mysql_real_escape_string()函数越狱特殊字符的字符串中使用SQL语句,以下字符的影响:

x00 n r ' " x1a

语法:mysql_real_escape_string(string,connection)

这个函数返回字符串过滤成功,或FALSE的失败.

参数说明:string:必需,指定字符串进行转义connection:可选,指定MySQL连接,如果没有指定,最后连接开幕mysql_connect()或mysql_pconnect()的使用,来看看实例:

1. $user = mysql_real_escape_string($user); 
2. //开源代码phpfensi.com 
3. $pwd = mysql_real_escape_string($pwd);$sql = "SELECT * FROM users WHERE 
4. user='" . $user . "' AND password='" . $pwd . "'" 
5. // more code 
6. mysql_close($con); 

数据库的攻击,这个例子表明会发生什么,如果我们不使用mysql_real_escape_string （ ）函数的用户名和密码：$_POST['user'] = 'john';

$_POST['pwd'] = "' OR ''='";这样就容易被sql注入.