real_escape_string

Définition et utilisation

real_escape_string() / mysqli_real_escape_string() échappe aux caractères spéciaux dans une chaîne à utiliser dans les requêtes SQL tout en tenant compte du jeu de caractères actuel de la concaténation.

Cette fonction est utilisée pour créer une chaîne SQL légale qui peut être utilisée dans les instructions SQL. Supposons que nous ayons le code suivant:

 <? Php

$ lastname = "D'Ore" ;

$ SQL = "INSERT INTO PERSONS (LASTNAME) VALEURS (' $ LASTNAME ')" ;

// Cette requête échouera parce que nous n'avons pas échappé $ LastName
if ( ! $ mysqli -> query ( $ sql ) ) {
  printf ( "% d Row inséré. \ n" , $ mysqli -> affecte_rows ) ;
}

?>

Exemple

Exemple 1 - style orienté objet

Échapper aux caractères spéciaux dans les cordes:

 <? Php
$ mysqli = new mysqli ( "localhost" , "my_user" , "my_password" , "my_db" ) ;

if ( $ mysqli -> connect_errno ) {
  Echo "n'a pas réussi à se connecter à MySQL:" . $ mysqli -> connect_error ;
  sortie ( ) ;
}

// échapper aux caractères spéciaux (le cas échéant)
$ firstName = $ mysqli -> real_escape_string ( $ _post [ 'FirstName' ] ) ;
$ lastname = $ mysqli -> real_escape_string ( $ _post [ 'lastname' ] ) ;
$ age = $ mysqli -> real_escape_string ( $ _post [ 'age' ] ) ;

$ SQL = "INSERT INTO PERSONS (FirstName, LastName, Age) Valeurs (' $ FirstName ', ' $ LastName ', ' $ Age ')" ;

if ( ! $ mysqli -> query ( $ sql ) ) {
  printf ( "% d Row inséré. \ n" , $ mysqli -> affecte_rows ) ;
}

$ mysqli -> close ( ) ;
?>

Exemple 2 - Style procédural

Échapper aux caractères spéciaux dans les cordes:

 <? Php
$ con = mysqli_connect ( "localhost" , "my_user" , "my_password" , "my_db" ) ;

if ( mysqli_connect_errno ( ) ) {
  Echo "n'a pas réussi à se connecter à MySQL:" . mysqli_connect_error ( ) ;
  sortie ( ) ;
}

// échapper aux caractères spéciaux (le cas échéant)
$ firstName = mysqli_real_escape_string ( $ con , $ _Post [ 'FirstName' ] ) ;
$ lastname = mysqli_real_escape_string ( $ con , $ _post [ 'lastname' ] ) ;
$ age = mysqli_real_escape_string ( $ con , $ _post [ 'Âge' ] ) ;

$ SQL = "INSERT INTO PERSONS (FirstName, LastName, Age) Valeurs (' $ FirstName ', ' $ LastName ', ' $ Age ')" ;

if ( ! mysqli_query ( $ con , $ sql ) ) {
  printf ( "% d Row inséré. \ n" , mysqli_affected_rows ( $ con ) ) ;
}

mysqli_close ( $ con ) ;
?>