mysqli::real_escape_string
mysqli_real_escape_string
(PHP 5, PHP 7, PHP 8)
mysqli::real_escape_string -- mysqli_real_escape_string — Escape caracteres especiais em uma string para uso em uma instrução SQL, levando em consideração o conjunto de caracteres atual da conexão
Descrição
Estilo orientado a objetos
Estilo procedural
Esta função é usada para criar uma string SQL legal que você pode usar em uma instrução SQL. A string fornecida é codificada para produzir uma string SQL com escape, levando em consideração o conjunto de caracteres atual da conexão.
Segurança: o conjunto de caracteres padrão
O conjunto de caracteres deve ser definido no nível do servidor ou com a função API mysqli_set_charset() para que afete mysqli_real_escape_string(). Consulte a seção de conceitos sobre conjuntos de caracteres para obter mais informações.
Parâmetros
-
mysql Somente no estilo procedural: Um objeto mysqli retornado por mysqli_connect() ou mysqli_init()
string-
A string a ser escapada.
Os caracteres codificados são
NUL (ASCII 0),\n,\r,\,',", e CTRL+Z.
Valor Retornado
Retorna uma string com escape.
Exemplos
Example #1 mysqli::real_escape_string() exemplo
Estilo orientado a objetos
<?php
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = new mysqli("localhost", "my_user", "my_password", "world");
$city = "'s-Hertogenbosch";
/* esta consulta com escape $city funcionará */
$query = sprintf("SELECT CountryCode FROM City WHERE name='%s'",
$mysqli->real_escape_string($city));
$result = $mysqli->query($query);
printf("Select retornou %d linhas.\n", $result->num_rows);
/* esta consulta falhará, porque não escapamos de $city */
$query = sprintf("SELECT CountryCode FROM City WHERE name='%s'", $city);
$result = $mysqli->query($query);Estilo procedural
<?php
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
$mysqli = mysqli_connect("localhost", "my_user", "my_password", "world");
$city = "'s-Hertogenbosch";
/* esta consulta com escape $city funcionará */
$query = sprintf("SELECT CountryCode FROM City WHERE name='%s'",
mysqli_real_escape_string($mysqli, $city));
$result = mysqli_query($mysqli, $query);
printf("Select retornou %d linhas.\n", mysqli_num_rows($result));
/* esta consulta falhará, porque não escapamos de $city*/
$query = sprintf("SELECT CountryCode FROM City WHERE name='%s'", $city);
$result = mysqli_query($mysqli, $query);Os exemplos acima produzirão algo semelhante a:
Select retornou 1 linhas. Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 's-Hertogenbosch'' at line 1 in...