Cadena segura

[Solid]

Recuerdo haber leído en alguno de los tutoriales de PHP en este foro que había una función para convertir las cadenas en cadenas seguras, pero busqué y busqué y no lo pude volver a encontrar...

Con cadena segura me refiero a una cadena segura de no causar problemas al usarla en mySQL o construyendo otras cadenas...

En mi caso en particular armo dinámicamente un query SQL de, digamos, la siguiente manera...


$query = "SELECT * FROM tabla WHERE nombre = '" . $nombre . "' ORDER BY nombre";

El problema con este query sería que si la variable $nombre toma un valor "Pepe's" entonces hay conflicto con cadenas, porque al usarla quedaría como...

SELECT * FROM table WHERE nombre ='Pepe's' ORDER By nombre"

Se entiende lo que digo ?

Podría hacerlo a mano con un substr si recordara cual era el código seguro que representa a los apóstrofes, pero estoy seguro que había una función que reemplazaba todos estos caractéres no seguros automáticamente.

[HerSAn]

Bueno aqui hay un detalle siempre y cuando no este avilitado la directiva magic_quotes_gpc generalmente usas las funciones:

• addslashes()
• stripslashes()
• mysql_real_escape_string()
• mysqli_escape_string (para mysql 4.1)
• mysqli_real_escape_string(para mysql 4.1)

Para manipular el scape de caracteres. Asi que revisa la lista y date una vuelta por el manual de php para que determines que es lo que necesitas para tu caso en concreto.

Saludos.

[nicolaspar]

Si es un str, podes usar addslaseh para comparaciones:
$query = "SELECT * FROM tabla WHERE nombre = '" . addslashes($nombre) . "' ORDER BY nombre";
O un str_replace de de la comilla tambien te seviria. Pero como tenes varios caracteres "jodidos", podes armarte una funcion reemplazando cada uno, de manera simple, mas o menos asi:
function limpiar($str){
$str= str_replace("'", "`", $str);
$str= str_replace("\"", "`", $str);
$str= str_replace("--", "", $str);
#Y todo el que quieras, o tambien palabras reservadas como having, group by, pero para eso tendrías que hacer una funcion input y otra de output.
return $str;
}


Despues tenes funciones propias de php para salvar las papas, como ser, stripcslashes(), stripslashes(), htmlspecialchars(), quotemeta(), y tambien propias de mysql segun la version que este usando.

Mas info www.php.net
www.mysql.com

[Solid]

muchas gracias, ahora lo pruebo