Veritabanına bağlanmadan mysql_real_escape_string gibi davranan bir işleve sahip olmak istiyorum, çünkü bazen DB bağlantısı olmadan kuru test yapmam gerekiyor. mysql_escape_string kullanımdan kaldırılmıştır ve bu nedenle istenmeyen bir durumdur. Bulgularımdan bazıları:

http://www.gamedev.net/community/forums/topic.asp?topic_id=448909

http://w3schools.invisionzone.com/index.php?showtopic=20064

DB bağlantısı olmadan bir dizeden güvenli bir şekilde çıkmak imkansızdır. mysql_real_escape_string()ve hazırlanmış deyimler, uygun karakter setini kullanarak dizeden kaçabilmeleri için veritabanına bir bağlantıya ihtiyaç duyar - aksi takdirde çok baytlı karakterler kullanılarak SQL enjeksiyon saldırıları hala mümkündür.

Yalnızca test yapıyorsanız, o zaman kullanabilirsiniz mysql_escape_string(), SQL enjeksiyon saldırılarına karşı% 100 garantili değildir, ancak bir DB bağlantısı olmadan daha güvenli bir şey oluşturmak imkansızdır.

Eh, mysql_real_escape_string işlevi referans sayfasına göre: "mysql_real_escape_string (), MySQL'in aşağıdaki karakterlerden kaçan mysql_real_escape_string kitaplık işlevini çağırır: \ x00, \ n, \ r, \, '," ve \ x1a. "

Bunu akılda tutarak, gönderdiğiniz ikinci bağlantıda verilen işlev tam olarak ihtiyacınız olanı yapmalıdır:

function mres($value)
{
    $search = array("\\",  "\x00", "\n",  "\r",  "'",  '"', "\x1a");
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");

    return str_replace($search, $replace, $value);
}

Diğer cevabımın tam tersine, bu aşağıdaki işlev muhtemelen çok baytlı karakterlerle bile güvenlidir.

// replace any non-ascii character with its hex code.
function escape($value) {
    $return = '';
    for($i = 0; $i < strlen($value); ++$i) {
        $char = $value[$i];
        $ord = ord($char);
        if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
            $return .= $char;
        else
            $return .= '\\x' . dechex($ord);
    }
    return $return;
}

Benden daha bilgili birinin bana yukarıdaki kodun neden çalışmayacağını söyleyebileceğini umuyorum ...

Daha fazla araştırmadan şunu buldum:

http://dev.mysql.com/doc/refman/5.1/en/news-5-1-11.html

Güvenlik Düzeltmesi:

Çok baytlı kodlama işlemede bir SQL enjeksiyon güvenlik açığı bulundu. Hata sunucudaydı, mysql_real_escape_string () C API işleviyle kaçan dizeyi yanlış bir şekilde ayrıştırıyordu.

Bu güvenlik açığı, OSDB konsorsiyumunun projeler arası güvenlik işbirliğinin bir parçası olarak Josh Berkus ve Tom Lane tarafından keşfedildi ve bildirildi. SQL yerleştirme hakkında daha fazla bilgi için lütfen aşağıdaki metne bakın.

Tartışma. Çok baytlı kodlama işlemede bir SQL enjeksiyon güvenlik açığı bulundu. Bir SQL enjeksiyon güvenlik açığı, bir kullanıcı veri tabanına eklenmek üzere veri sağladığında, kullanıcının sunucunun yürüteceği verilere SQL ifadeleri enjekte edebildiği bir durumu içerebilir. Bu güvenlik açığıyla ilgili olarak, karakter kümesi farkında olmadan kaçış kullanıldığında (örneğin, PHP'de addslashes ()), bazı çok baytlı karakter kümelerinde (örneğin, SJIS, BIG5 ve GBK) kaçmayı atlamak mümkündür. Sonuç olarak, addslashes () gibi bir işlev, SQL enjeksiyon saldırılarını önleyemez. Bunu sunucu tarafında düzeltmek imkansız. En iyi çözüm, uygulamaların mysql_real_escape_string () gibi bir işlev tarafından sunulan karakter kümesine duyarlı kaçmayı kullanmasıdır.

Ancak, MySQL sunucusunun mysql_real_escape_string () çıktısını nasıl ayrıştırdığına ilişkin bir hata tespit edildi. Sonuç olarak, karakter kümesine duyarlı işlev mysql_real_escape_string () kullanıldığında bile SQL enjeksiyonu mümkün olmuştur. Bu hata düzeltildi.

Çözümler. MySQL'i mysql_real_escape_string () ayrıştırmada hata için düzeltmeyi içeren bir sürüme yükseltemiyorsanız, ancak MySQL 5.0.1 veya üstünü çalıştırıyorsanız, geçici çözüm olarak NO_BACKSLASH_ESCAPES SQL modunu kullanabilirsiniz. (Bu mod MySQL 5.0.1'de sunulmuştur.) NO_BACKSLASH_ESCAPES, ters eğik çizginin özel bir karakter olarak görülmediği bir SQL standart uyumluluk modunu etkinleştirir. Sonuç, sorguların başarısız olacağı olacaktır.

Mevcut bağlantı için bu modu ayarlamak için aşağıdaki SQL ifadesini girin:

SET sql_mode='NO_BACKSLASH_ESCAPES';

Modu tüm istemciler için global olarak da ayarlayabilirsiniz:

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES';

Bu SQL modu, sunucu başlatıldığında da otomatik olarak etkinleştirilebilir --sql-mode = NO_BACKSLASH_ESCAPES veya sunucu seçeneği dosyasında sql-mode = NO_BACKSLASH_ESCAPES (örneğin, my.cnf veya my.ini) sisteminize bağlı olarak). (Hata # 8378, CVE-2006-2753)

Ayrıca Hata # 8303'e bakın.