Cómo usar mysql_real_escape_string

[miktrv]

Hola buenas,

Tengo una duda, como se recomienda usar la función mysql_real_escape_string(), para cada parámetro, o en la consulta sql construida?

Por ejemplo..

$sql = 'SELECT * FROM users WHERE user = ' . $user;

y luego hacer mysql_query(mysql_real_escape_string($sql)) ???

Un saludo!

[masterpuppet]

Que tal miktrv,

Mi sugerencia es que no utilices ninguna de las dos cosas(mysql_query, mysql_real_escape_string), deberías utilizar PDO y Prepared statements.

Saludos.

[miktrv]

Hola muchas gracias, si.. lo que pasa es que tengo proyectos que estan hechos con mysql_ ... entonces prefiero mantenerlos así.. además van bastante rápidos, y no hay otra capa más por encima de la base de datos..

Un saludo!

[GatorV]

En ese caso solo debes de ocuparlo en los parámetros que sean del tipo string que vayas a insertar en tu consulta.

Aunque siempre es mejor usar Prepared Statements, te brindan mucho más seguridad que mysql_real_escape_string.

Saludos.

[miktrv]

De acuerdo, muchas gracias por tu ayuda.

Pero.. una duda, después, como hago para interpretar lo que esta en la base de datos? me explico.. si un usuario pone " ' (comilla simple)" , y en la base de datos se guarda \' , como hago para mostrar ' ?

Un saludo!

[pateketrueke]

Iniciado por miktrv

De acuerdo, muchas gracias por tu ayuda.

Pero.. una duda, después, como hago para interpretar lo que esta en la base de datos? me explico.. si un usuario pone " ' (comilla simple)" , y en la base de datos se guarda \' , como hago para mostrar ' ?

Un saludo!

Dicho escape \ solo sirve al momento de guardar la cadena en la BD, para evitar problemas con comillas.

Al momento de mostrar no deberías tener problemas, pues dichos escapes no están ya presentes.

[mogurbon]

Código PHP:

  $user=mysql_real_escape_string($user);
$sql = "SELECT * FROM users WHERE user =  '$user'";

#o tambien asi 

$sql=sprintf("SELECT * FROM users WHERE user = '%s'",mysql_real_escape_string($user));  
   

[miktrv]

De acuerdo muchas gracias por todo, pero una última duda... comentan que solo en strings... pero.. en teoría debería de ser sobre cualquier valor que entre en nuestra BBDD, no?

Un saludo!

[pateketrueke]

Iniciado por miktrv

De acuerdo muchas gracias por todo, pero una última duda... comentan que solo en strings... pero.. en teoría debería de ser sobre cualquier valor que entre en nuestra BBDD, no?

Un saludo!

Depende del tipo de dato, aunque aparentemente no importa.

[miktrv]

Iniciado por pateketrueke

Depende del tipo de dato, aunque aparentemente no importa.

Es decir, que hay que colocarlo en todo..

Un saludo!