una - heredoc php

Cómo escapar de comillas simples(apóstrofo) en cadena usando php

Question

Tengo una consulta SQL como esta: -

$stmt = $pdo->prepare(
"SELECT * FROM `products_keywords` WHERE `product_type` = ''" . $product_type . "'' ");

No sé cuál será el valor en la variable $ product_type . Pero ahora, obtengo la Camisa de hombre en la variable $ product_type que está causando el error de sintaxis en mi consulta SQL. Estoy seguro de que este error se debe a la comilla simple en el valor de la camisa de hombre . ¿Cómo escapo este valor de acuerdo con mi consulta? Y cómo verificar si hay una comilla simple en mi variable $ product_type y luego escapar de acuerdo con mi consulta. Gracias por adelantado.

Answer 1

De hecho, sugeriría hacerlo de la siguiente manera:

$stmt = $pdo->prepare(
''SELECT * FROM `products_keywords` WHERE `product_type` = :product_type'');
$res = $stmt->execute(array('':product_type'' => $product_type));

De esta manera, no necesita escapar de nada y su consulta es segura.

Answer 2

La respuesta es que no es necesario. La forma correcta de usar la preparación de PDO es así:

$stmt = $pdo->prepare(
"SELECT * FROM `products_keywords` WHERE `product_type` = ?");

Este es el objetivo de usar una declaración preparada. Luego bind el parámetro de la siguiente manera:

$stmt->bindParam(1, $product_type)

Prueba,

Esquema:

create table `products_keywords`
( `id` int not null,
`products_keywords` varchar(1000) not null,
`product_type` varchar(100) not null
);
insert `products_keywords` (`id`,`products_keywords`,`product_type`) values
(1,''zoom lawn cut mower'',"Lawn Mower"),
(2,''stylish torso Polo'',''Men/'s Shirt'');

Ver datos:

select * from `products_keywords`;
+----+---------------------+--------------+
| id | products_keywords | product_type |
+----+---------------------+--------------+
| 1 | zoom lawn cut mower | Lawn Mower |
| 2 | stylish torso Polo | Men''s Shirt |
+----+---------------------+--------------+

PHP:

<?php
// turn on error reporting, or wonder why nothing is happening at times
error_reporting(E_ALL);
ini_set("display_errors", 1);
$servername="localhost";
$dbname="so_gibberish";
$username="nate123";
$password="openSesame1";
try {
$pdo = new PDO("mysql:host=$servername;dbname=$dbname", $username, $password);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$product_type="Men''s Shirt";
$stmt = $pdo->prepare("SELECT * FROM `products_keywords` WHERE `product_type` = ?");
$stmt->bindParam(1, $product_type);
$stmt->execute();
while($row = $stmt->fetch()) {
echo $row[''id''].", ".$row[''products_keywords''].", ".$row[''product_type'']."<br/>";
}
} catch (PDOException $e) {
echo ''pdo problemo: '' . $e->getMessage(); // dev not production code
exit();
}
?>

Navegador:

Answer 3

Para insertar una cita en una declaración PDO, simplemente use la función addslashes . Por ejemplo:

function insert($tagName)
{
$tagName = addslashes($tagName);
$rs = $this->db->prepare("INSERT INTO tags (tagName) VALUES (''$tagName'')");
$rs->execute();
}

Answer 4

Sigues pidiendo una solución para escapar del apóstrofe. Estoy de acuerdo con los otros comentarios y respuestas a los que debería acostumbrarse a usar los parámetros de consulta. Es más limpio y fácil.

Pero PDO realmente tiene una función para escapar. Se llama PDO::quote() :

$product_type_quoted = $pdo->quote($product_type);
$stmt = $pdo->prepare(
"SELECT * FROM `products_keywords`
WHERE `product_type` = $product_type_quoted");

Tenga en cuenta que quote () escapa de la cadena según sea necesario, y también agrega comillas simples a su alrededor, por lo que no necesita hacer eso cuando usa esa variable en su cadena SQL.

Lea la documentación para obtener más información: PDO::quote() De hecho, podría haber respondido esta pregunta usted mismo al pasar unos minutos leyendo la documentación de la DOP.