php mysql不能自动反转义

基础概念

PHP中的mysql扩展（已废弃）用于与MySQL数据库进行交互。自动反转义是指在插入或更新数据库之前，PHP会自动对特殊字符进行转义，以防止SQL注入攻击。然而，mysql扩展并不支持自动反转义功能。

类型

在PHP中，有两种主要的转义方式：

手动转义：使用mysql_real_escape_string函数手动对输入数据进行转义。
预处理语句：使用PDO或MySQLi扩展的预处理语句功能，自动处理转义。

应用场景

手动转义：适用于使用mysql扩展的场景，但需要注意手动转义的繁琐和潜在的遗漏。
预处理语句：适用于使用PDO或MySQLi扩展的场景，提供更高的安全性和便利性。

问题原因

mysql扩展不支持自动反转义，因此需要手动处理输入数据的转义，否则可能会导致SQL注入攻击。

解决方法

推荐使用PDO或MySQLi扩展，并使用预处理语句来处理数据库交互。以下是使用PDO的示例代码：

<?php
$servername = "localhost";
$username = "username";
$password = "password";
$dbname = "myDB";

try {
    $conn = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
    $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 预处理语句
    $stmt = $conn->prepare("INSERT INTO users (username, email) VALUES (:username, :email)");
    $stmt->bindParam(':username', $username);
    $stmt->bindParam(':email', $email);

    $username = "JohnDoe";
    $email = "john@example.com";

    $stmt->execute();

    echo "New record created successfully";
} catch(PDOException $e) {
    echo "Error: " . $e->getMessage();
}

$conn = null;
?>