PHP mysql_real_escape_string () и символ%

Question

Что mysql_real_escape_string() делает с символом % (процентов) и какую угрозу безопасности он представляет (и как ее исправить)?

Answer 1

Из mysql_real_escape_string() документации :

Примечание: mysql_real_escape_string () не экранирует% и _. Это подстановочные знаки в MySQL в сочетании с LIKE, GRANT или REVOKE.

Что касается безопасности, если вы не используете LIKE, GRANT или REVOKE, это не проблема. LIKE, вероятно, единственная реальная проблема. Вам решать, как бы вы хотели избежать этого в этих ситуациях.

Быстрый пример:

"... LIKE '%" . mysql_real_escape_string($string) . "%' ..."

Answer 2

Ничего не делает с символом%.Почему ты не попробовал это?

Answer 3

Взято из:

http://php.net/manual/en/function.mysql-real-escape-string.php

Примечание: mysql_real_escape_string () не экранирует% и _. Это подстановочные знаки в MySQL в сочетании с LIKE, GRANT или REVOKE.