为什么mysqli_real_escape_string（）不会通过转义分号和斜杠来改变我的字符串？

Posted 2021-04-08

我有以下代码用于粗略识别机器：

$computerId = "UserAgent:".$_SERVER['HTTP_USER_AGENT']."RemoteAddress:".$_SERVER['REMOTE_ADDR'];

我使用以下代码来比较转义与未转义的字符串：

echo "Unescaped:
".$computerId."
Escaped:
".mysqli_real_escape_string($conn, $computerId);

这是我得到的输出：

未转义：UserAgent：Mozilla / 5.0（Windows NT 10.0; Win64; x64）AppleWebKit / 537.36（Khtml，与Gecko一样）Chrome / 68.0.3440.106 Safari / 537.36RemoteAddress ::: 1

转义：UserAgent：Mozilla / 5.0（Windows NT 10.0; Win64; x64）AppleWebKit / 537.36（KHTML，与Gecko一样）Chrome / 68.0.3440.106 Safari / 537.36RemoteAddress ::: 1

正如你所看到的，它们是完全相同的，并且它看起来不像逃逸正在做任何事情，因为两个字符串都包含未转义的反斜杠和分号。可能是什么导致了这个？

答案

根据文件

http://php.net/manual/en/function.mysql-real-escape-string.php

mysql_real_escape_string（）调用MySQL的库函数mysql_real_escape_string，它将反斜杠添加到以下字符： x00， n， r，，'，“和 x1a。

因此，分号（;）不是由函数转义（或前置）的字符。