Я хотів би мати функцію, яка поводиться як mysql_real_escape_string без підключення до бази даних, оскільки часом мені потрібно робити сухе тестування без підключення до БД. mysql_escape_string застарілий і, отже, небажаний. Деякі мої висновки:

http://www.gamedev.net/community/forums/topic.asp?topic_id=448909

http://w3schools.invisionzone.com/index.php?showtopic=20064

Неможливо безпечно уникнути рядка без підключення до БД. mysql_real_escape_string()і підготовленим операторам потрібне з'єднання з базою даних, щоб вони могли уникнути рядка, використовуючи відповідний набір символів - інакше атаки введення SQL все ще можливі за допомогою багатобайтових символів.

Якщо ви лише тестуєте , тоді ви можете також використовувати mysql_escape_string(), це не на 100% гарантоване проти атак SQL-ін'єкції, але неможливо створити щось безпечніше без з'єднання з БД.

Ну, відповідно до довідкової сторінки функції mysql_real_escape_string : "mysql_real_escape_string () викликає функцію бібліотеки MySQL mysql_real_escape_string, яка виводить такі символи: \ x00, \ n, \ r, \, '," та \ x1a. "

Маючи це на увазі, тоді функція, наведена у другому посиланні, яке ви опублікували, повинна робити саме те, що вам потрібно:

function mres($value)
{
    $search = array("\\",  "\x00", "\n",  "\r",  "'",  '"', "\x1a");
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");

    return str_replace($search, $replace, $value);
}

На противагу іншій моїй відповіді, ця наступна функція, мабуть, безпечна, навіть із багатобайтовими символами.

// replace any non-ascii character with its hex code.
function escape($value) {
    $return = '';
    for($i = 0; $i < strlen($value); ++$i) {
        $char = $value[$i];
        $ord = ord($char);
        if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
            $return .= $char;
        else
            $return .= '\\x' . dechex($ord);
    }
    return $return;
}

Я сподіваюся, що хтось більш обізнаний, ніж я, може сказати мені, чому код вище не працюватиме ...

З подальших досліджень я виявив:

http://dev.mysql.com/doc/refman/5.1/en/news-5-1-11.html

Виправлення безпеки:

У багатобайтовій обробці кодування виявлено дірку безпеки введення SQL. Помилка була на сервері, неправильно проаналізований рядок, який уникнув за допомогою функції API API mysql_real_escape_string ().

Цю вразливість виявили і повідомили Джош Беркус і Том Лейн в рамках співпраці між проектами в галузі безпеки консорціуму OSDB. Для отримання додаткової інформації про введення SQL див. Наступний текст.

Обговорення. У багатобайтовій обробці кодування виявлено дірку безпеки введення SQL. Дірка безпеки введення SQL може включати ситуацію, коли, коли користувач надає дані, які потрібно вставити в базу даних, користувач може вводити оператори SQL у дані, які виконуватиме сервер. Що стосується цієї вразливості, то, коли використовується екранування невідомого набору символів (наприклад, додавання косих знаків () у PHP), можна обійти екранування в деяких багатобайтових наборах символів (наприклад, SJIS, BIG5 та GBK). Як результат, така функція, як addlashes (), не може запобігти атакам SQL-ін'єкції. Це неможливо виправити на стороні сервера. Найкращим рішенням є те, щоб додатки використовували функцію екранування екрану з урахуванням набору символів, запропоновану функцією mysql_real_escape_string ().

Однак була виявлена ​​помилка в тому, як сервер MySQL аналізує вихідні дані mysql_real_escape_string (). Як результат, навіть коли була використана функція mysql_real_escape_string () із набором символів, можливо було введення SQL. Ця помилка виправлена.

Обхідні шляхи. Якщо ви не можете оновити MySQL до версії, яка включає виправлення помилки в синтаксичному аналізі mysql_real_escape_string (), але запустите MySQL 5.0.1 або новішої версії, ви можете використовувати режим SQL NO_BACKSLASH_ESCAPES як вирішення проблеми. (Цей режим було введено в MySQL 5.0.1.) NO_BACKSLASH_ESCAPES включає стандартний режим сумісності SQL, де зворотна коса риса не вважається спеціальним символом. Результатом буде те, що запити будуть невдалими.

Щоб встановити цей режим для поточного з'єднання, введіть наступний оператор SQL:

SET sql_mode='NO_BACKSLASH_ESCAPES';

Ви також можете встановити режим глобально для всіх клієнтів:

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES';

Цей режим SQL також можна ввімкнути автоматично, коли сервер запускається, використовуючи параметр командного рядка --sql-mode = NO_BACKSLASH_ESCAPES або встановивши sql-mode = NO_BACKSLASH_ESCAPES у файлі параметрів сервера (наприклад, my.cnf або my.ini , залежно від вашої системи). (Помилка # 8378, CVE-2006-2753)

Див. Також помилку №8303.