在PHP中单引号会自动转义吗？那有什么清洁需求？

        PHP中有一个无效的“功能”，该功能会自动转出称为Magic Quotes的POST / GET数据。这个想法是防止常见的SQL注入类型发生。 实际上，您会得到混乱的数据，并且根据实现的不同，仍然可能进行SQL注入。 PHP的开发人员很快意识到了这一点，不赞成使用该功能，因此不鼓励使用它。 在正确的PHP安装中，应绝对禁用此功能！如果您无权访问PHP.ini来设置

magic_quotes_gpc off

，那么可以将其放在代码的顶部：

if (get_magic_quotes_gpc()) {
    $process = array(&$_GET, &$_POST, &$_COOKIE, &$_REQUEST);
    while (list($key, $val) = each($process)) {
        foreach ($val as $k => $v) {
            unset($process[$key][$k]);
            if (is_array($v)) {
                $process[$key][stripslashes($k)] = $v;
                $process[] = &$process[$key][stripslashes($k)];
            } else {
                $process[$key][stripslashes($k)] = stripslashes($v);
            }
        }
    }
    unset($process);
}

摘自：http://www.php.net/manual/zh/security.magicquotes.disabling.php 现在，解决您的SQL注入问题。您会发现，除了引号之外，还有更多的事情需要担心。您无需指定所使用的数据库，但这无关紧要。避免注入问题的最佳方法是使用准备好的/参数化的查询。 准备的查询是使用参数发送到服务器的查询，其值稍后发送。

INSERT INTO someTable (field1, field2) VALUES (:field1, :field2);

注意the6ѭ和

:field2

，因为它们是参数。当我执行此语句时，那些将被替换为适当的值。由于服务器正在执行此操作，因此无需转义（和/或在后台为您转义，具体取决于您使用的数据库层）。 在PHP中实现此功能的最简单方法是利用PDO。对于此框，如何使用PDO太长了，因此我将指导您使用教程： http://net.tutsplus.com/tutorials/php/why-you-should-be-using-phps-pdo-for-database-access/     

        在php.ini中禁用

magic_quote

，并使用

PDO

。