具體用法

　　addslashes防止SQL注入

　　雖然國內(nèi)很多PHP程序員仍在依靠addslashes防止SQL注入，還是建議大家加強中文防止SQL注入的檢查。addslashes的問題在 于黑客 可以用0xbf27來代替單引號，而addslashes只是將0xbf27修改為0xbf5c27，成為一個有效的多字節(jié)字符，其中的0xbf5c仍會 被看作是單引號，所以addslashes無法成功攔截。

　　當(dāng)然addslashes也不是毫無用處，它是用于單字節(jié)字符串的處理，多字節(jié)字符還是用mysql_real_escape_string吧。

　　另外對于php手冊中g(shù)et_magic_quotes_gpc的

　　舉例：

　　string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )

　　本函數(shù)將 unescaped_string 中的特殊字符轉(zhuǎn)義，并計及連接的當(dāng)前字符集，因此可以安全用于 mysql_query()。

　　Note: mysql_real_escape_string() 并不轉(zhuǎn)義 % 和 _。

　　mysql_real_escape_string

　　Example#1 mysql_real_escape_string() 例子

　　mysql_escape_string

　　本函數(shù)將 unescaped_string 轉(zhuǎn)義，使之可以安全用于 mysql_query()。

　　注: mysql_escape_string() 并不轉(zhuǎn)義 % 和 _。

　　本函數(shù)和 mysql_real_escape_string() 完全一樣，除了 mysql_real_escape_string() 接受的是一個連接句柄并根據(jù)當(dāng)前字符集轉(zhuǎn)移字符串之外。mysql_escape_string() 并不接受連接參數(shù)，也不管當(dāng)前字符集設(shè)定。

　　例子 1. mysql_escape_string() 例子

　　mysql_real_escape_string和mysql_escape_string這2個函數(shù)的區(qū)別：

　　mysql_real_escape_string 必須在(PHP 4 >= 4.3.0, PHP 5)的情況下才能使用。否則只能用 mysql_escape_string ，兩者的區(qū)別是：mysql_real_escape_string 考慮到連接的當(dāng)前字符集，而mysql_escape_string 不考慮。

　　我們可以利用判斷來綜合處理

　　總結(jié)一下：

　　* addslashes() 是強行加;

　　* mysql_real_escape_string() 會判斷字符集，但是對PHP版本有要求;

　　* mysql_escape_string不考慮連接的當(dāng)前字符集。