这会允许mysql_real_escape_string全局工作吗？

Question

$_POST = mysql_real_escape_string($_POST); 

通过执行此语句，每个帖子值现在是否通过mysql_real_escape_string转义？

Answer 1

不，那根本不起作用：$_POST是一个数组：mysql_real_escape_string需要一个字符串作为它的第一个参数。你可以，但是，实现你想要的与array_map：

$_POST = array_map('mysql_real_escape_string', $_POST); 

或者array_walk_recursive为array_map在阵列后的值不起作用：

array_walk_recursive($_POST, function(&$v, $k) {$v = mysql_real_escape_string($v);}); 

更好，但是，这是使用paramaterised查询：此是迄今为止避免SQL注入的最安全的方法。上述选项不仅不需要转义（例如，不需要插入数据库的$_POST数组的成员），而且还使得难以在其他上下文中使用数据，例如，以某种方式将它们返回给浏览器。

Answer 2

由于$ _POST是一个数组，这会给你一个错误。

链接：http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 3

没有，但你可以使用array_walk()^Docs或array_walk_recursive()^Docs实现这一目标，作为mysql_real_escape_string()^Docs需要一个字符串（去图...）作为输入，而你传递一个数组来代替。 有了这个，你通过每个数组元素相同的回调函数：

array_walk_recursive($_POST, 'escape'); 

escape($k,$v) 
{ 
return mysql_real_escape_string($v); 
} 

但最好相应对待每一个值，为前。将INT转换为INT等，或者更好，use parametrized queries。

Answer 4

$ escapedPost = array_map（array（$ this，'recursive_escape'），$ _POST）;

/** 
* recursively escape an array containing strings and/or arrays 
*/ 
function recursive_escape($value) { 
    if (is_array($value)) { 
     array_map(array($this, 'recursive_escape'), $value); 
    } else { 
     $value = mysql_real_escape_string($value); 
    } 
    return $value; 
}