Вставка данных с помощью PHP в mysql, когда они содержат '

Это относится к категории SQL-инъекций.

В PHP функция: mysql_real_escape_string используется для кодирования строки, чтобы ни одна из них не могла повлиять на оператор SQL, в который она может быть объединена.

поэтому убедитесь, что все ваши значения проходят через функцию mysql_real_escape_string, и все будет в порядке.

API REF: http://php.net/manual/en/function.mysql-real-escape-string.php

Просто передайте свои данные через mysql_real_escape_string()

Используйте мою удобную функцию денди:

function mysql_safe_string($value) {
    if(is_numeric($value))      return $value;
    elseif(empty($value))       return 'NULL';
    elseif(is_string($value))   return '\''.mysql_real_escape_string($value).'\'';
    elseif(is_array($value))    return implode(',',array_map('mysql_safe_string',$value));
}

function mysql_safe_query($format) {
    $args = array_slice(func_get_args(),1);
    $args = array_map('mysql_safe_string',$args);
    $query = vsprintf($format,$args);
    $result = mysql_query($query);
    if($result === false) echo '<div class="mysql-error"><strong>Error: </strong>',mysql_error(),'<br/><strong>Query: </strong>',$query,'</div>';
    return $result;
}

Вот так:

mysql_safe_query('INSERT INTO table VALUES (%s, %s, %s)', $val1, $val2, $val3);

И забудьте о том, чтобы цитировать или не цитировать свои строки, и писать mysql_real_escape_string дюжину раз.

Единственный по-настоящему безопасный способ вставки, замены или взаимодействия с чем-либо в базе данных с помощью PHP — это использование подготовленных операторов. На самом деле больше нет оправдания тому, чтобы делать это по-другому. Экранирование строк с помощью mysql_real_escape_string даст вам некоторую защиту, но не является пуленепробиваемым.

Готовые отчеты даже не сложны. См. на них страницу руководства по PHP, там есть несколько оболочек для сделать жизнь еще проще, лично мне очень нравится оболочка codesense mysqli, и я использовать его какое-то время без проблем - это не сложнее, чем прямой PHP-код MySQL. EasyPDO тоже выглядит многообещающе.

Вы должны проверить соответствующий вопрос "PHP: Является ли mysql_real_escape_string "достаточным для очистки пользовательского ввода" для получения дополнительной информации о том, почему вам не следует лениться.

Используйте: php.net/manual/en/function.addslashes.php

Addslashs предотвращают только это!

И если вы используете это, просто используйте

http://www.php.net/manual/en/function.stripslashes.php

чтобы удалить косые черты из вашей строки!