Décodage mysql_real_escape_string() pour la sortie HTML

La mysql_real_escape_string() page de manuel vous indique quels sont les caractères échappés:

mysql_real_escape_string() appelle
MySQL est fonction de la bibliothèque
mysql_real_escape_string, qui
ajoute des barres obliques inverses à la suivante
caractères: \x00, \n, \r, \, ', " et
\x1a.

Vous pourrait réussir à inverser la échapper par le remplacement de celles des caractères d'échappement avec leur sans échappement formes.

mysql_real_escape_string() ne doit pas être utilisé pour nettoyer le code HTML si... il n'y a aucune raison de l'utiliser avant de sortir de la page web de données. Il doit être utilisé uniquement sur les données que vous êtes sur le point de mettre dans la base de données. Votre processus d'assainissement devrait ressembler à quelque chose comme ceci:

Entrée

1. Accepter la saisie de l'utilisateur à partir d'un formulaire ou d'une requête HTTP
2. Créer requête de base de données à l'aide de mysql_real_escape_string()

Sortie

1. Récupérer les données de la base de données
2. Exécuter toutes les données définis par l'utilisateur par le biais de htmlspecialchars() avant l'impression

L'aide d'un autre pilote de base de données tels que MySQLi ou AOP vous permettra d'utiliser les requêtes préparées, qui prennent soin de s'en échapper, la plupart des intrants pour vous. Toutefois, si vous ne pouvez pas passer ou de prendre avantage de ces, certainement utiliser mysql_real_escape_string()... juste l'utiliser avant l'insertion des données.

OriginalL'auteur zombat

Vous avez tout foiré.

mysql_real_escape_string n'avez pas besoin de tout décodage.

si vous récupérer vos données avec des barres obliques, cela signifie qu'il a été échappé deux fois. Et plutôt que de se dénuder les extra barres obliques, vous devriez tout simplement pas à les ajouter.

Pour ne pas mentionner que, quelle que soit l'échappement est obsolète et vous devriez

utiliser les requêtes préparées

au lieu de quoi échapper à la chaîne.

De ne jamais s'échapper, jamais décoder.

Le problème a été résolu.

OriginalL'auteur Your Common Sense

Bien, j'ai pris un coup de couteau à l'ancienne façon et jusqu'à présent je n'arrive pas à voir quelque chose de mal avec ma démarche. Bien évidemment, il est un peu brut, mais il fait le travail:

function mysql_unreal_escape_string($string) {
    $characters = array('x00', 'n', 'r', '\\', '\'', '"','x1a');
    $o_chars = array("\x00", "\n", "\r", "\\", "'", "\"", "\x1a");
    for ($i = 0; $i < strlen($string); $i++) {
        if (substr($string, $i, 1) == '\\') {
            foreach ($characters as $index => $char) {
                if ($i <= strlen($string) - strlen($char) && substr($string, $i + 1, strlen($char)) == $char) {
                    $string = substr_replace($string, $o_chars[$index], $i, strlen($char) + 1);
                    break;
                }
            }
        }
    }
    return $string;
}

Ce qui devrait couvrir la plupart des cas.

OriginalL'auteur Muhwu

Même si c'est une vieille question...
J'ai eu le même problème que Pierre Craig.
En fait, j'ai à traiter avec un vieux de la CMS. Afin de prévenir l'Injection SQL, tous les $_POST et $_GET valeurs sont "sql-échappé". Malheureusement, cela se fait en un point central, de sorte que tous vos modules de recevoir toutes les données sql échappé! Dans certains cas, vous souhaitez directement l'affichage de ces données, afin de faire face à un problème: comment faire pour afficher un sql-échappé à la chaîne sans gettng de DB?
La réponse est:
utilisation stripcslashes (PAS stripslashes!!)

http://php.net/manual/en/function.stripcslashes.php

OriginalL'auteur Peter

Je pense qu'un certain nombre d'autres réponses raté le problème évident...

Vous utilisez mysql_real_escape_string sur la saisie de contenu (que vous devriez si vous n'utilisez pas les requêtes préparées).

Votre problème est avec la sortie.

Le problème actuel est que vous appelez html_entity_decode. Juste stripslashes est tout ce que vous devez rétablir le texte initial. html_entity_decode est qu'est-ce que gâcher votre devis, etc, comme il est en train de changer. Vous voulez réellement pour la sortie du html, pas juste du texte brut (qui est lorsque vous utilisez le html_entities, etc). Vous êtes décodage quelque chose que vous souhaitez encoder.

Si vous voulez seulement le texte de la version, vous pouvez utiliser les entités. Si vous êtes inquiet au sujet de la mauvaise balises, il faut utiliser striptags et autoriser uniquement les balises que vous souhaitez (par exemple b, i, etc).

Enfin, n'oubliez pas d'encoder et de décoder les dans le bon ordre. si vous avez exécuté mysql_real_escape_String(htmlentities($str)), alors vous avez besoin pour exécuter html_entity_decode(stripslashes($str)). L'ordre des opérations de questions.

Mise à JOUR: je ne savais pas que html_entity_decode également des bandes de barres obliques. Il n'a pas été clairement documenté sur cette page, et je n'ai jamais attrapé. Je vais quand même l'exécuter automatiquement si, comme la plupart des html que je vous présente je tiens à gauche comme des entités, et même si je n'ai pas, je préfère prendre une décision en dehors de ma classe db, sur une base de cas par cas. De cette façon, je sais que les barres obliques sont partis.

Il semble que l'affiche originale est en cours d'exécution htmlentities (ou de son programme d'entrée, comme tinymce est de le faire pour lui), et il veut revenir dans le contenu. Donc, html_entity_decode($Str) devrait être tout ce qui est nécessaire.

OriginalL'auteur Cryophallion