mysql_real_escape_string

説明

現在の接続の文字セットで unescaped_string の 特殊文字をエスケープし、 mysql_query() で安全に 利用できる形式に変換します。バイナリデータを挿入しようとしている場合、 必ずこの関数を利用しなければなりません。

mysql_real_escape_string() は、MySQL のライブラリ関数 mysql_real_escape_string をコールしています。これは以下の文字について 先頭にバックスラッシュを付加します。 \x00, \n, \r, \, ', " そして \x1a.

データの安全性を確保するため、MySQL へクエリを送信する場合には （わずかな例外を除いて）常にこの関数を用いなければなりません。

パラメータ

返り値

成功した場合にエスケープ後の文字列、失敗した場合に FALSE を返します。

例

例 1. 単純な mysql_real_escape_string() の例 <?php // 接続 $link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')     OR die(mysql_error()); // クエリ $query = sprintf("SELECT * FROM users WHERE user='%s' AND password='%s'",             mysql_real_escape_string($user),             mysql_real_escape_string($password)); ?>

例 2. SQL インジェクション攻撃の例 <?php // データベース上のユーザに一致するかどうかを調べる $query = "SELECT * FROM users WHERE user='{$_POST['username']}' AND password='{$_POST['password']}'"; mysql_query($query); // $_POST['password'] をチェックしなければ、このような例でユーザに望みどおりの情報を取得されてしまう $_POST['username'] = 'aidan'; $_POST['password'] = "' OR ''='"; // MySQL に送信されたクエリは、 echo $query; ?> MySQL に送信されたクエリは次のとおり: SELECT * FROM users WHERE user='aidan' AND password='' OR ''='' これでは、パスワードを知らなくても誰でもログインできてしまいます。

例 3. "うまいやり方" のクエリ それぞれの変数に mysql_real_escape_string() を適用し、 SQL インジェクションを防ぎます。この例では、データベースにクエリを 送信する場合の "うまいやり方" を示します。これは、 マジッククオート の設定に依存しません。 <?php // 安全性を確保するために変数をクオートする function quote_smart($value) {     // Stripslashes     if (get_magic_quotes_gpc()) {         $value = stripslashes($value);     }     // 数値以外をクオートする     if (!is_numeric($value)) {         $value = "'" . mysql_real_escape_string($value) . "'";     }     return $value; } // 接続 $link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')     OR die(mysql_error()); // 安全なクエリの生成 $query = sprintf("SELECT * FROM users WHERE user=%s AND password=%s",             quote_smart($_POST['username']),             quote_smart($_POST['password'])); mysql_query($query); ?> これでクエリは正しく実行され、SQL インジェクション攻撃が機能しなくなります。

注意

参考