Problema escapando SQL con mysqli->real_escape_string

[acubino]

Hola de nuevo (casi 10 años desde mi último post

Tengo un problema escapando variables de MYSQL, que por miro no resuelvo, y es un error escapando cadenas.

Cadena que le paso (por POST).
espa' fasjkds\'' aksfaksd\' s3

Cadena que obtengo por MYSQL
Escapada: espa\' fasjkds\\\'\' aksfaksd\\\' s3

Evidentemente al haber un \\' el MYSQL me suelta un error de sintaxis incorrecta.

El código para escapar es:
$escapada = $this->mysqli[$user_mode]->real_escape_string($valor);
Dónde $mysqli[$user_mode] es el objeto de la base de datos.

El Magic quotes aunque no está desactivado en el servidor, ya está suplido con una función y está comprobado que la variable es la indicada arriba.

¿Por dónde van los tiros y porque no puedo escapar correctamente mi variable para hacer un INSERT?

El SQL que falla es:
UPDATE `tabla` SET `nombre` = 'espa\' fasjkds\\'\' aksfaksd\\' s3', `descripcion` = 'descripcion spa' WHERE idioma = 'es' LIMIT 1;

[GatorV]

Si estas usando MySQLi, es mucho mejor que uses Stored Procedures para evitar todo este problema de las comillas, y así tienes mucha más seguridad.

Saludos.

[arcanisgk122]

yo creía que en mysqli update no se puede usar LIMIT 1;

[acubino]

Hola.

He mirado lo del procedimiento almacenado y realmente veo que es como un lenguaje de programación, vamos que requiere unos cuantos días o semanas de aprendizaje y yo ya tengo mi proyecto comenzado, a parte de que hoy por hoy no es la solución que busco.

Respecto al Update, en principio cualquier WHERE que yo sepa puede tener LIMIT 1, aunque el problema no viene por ahí.

El problema sigue en el escapado de mysqli, que o falla o no lo estoy llamando adecuadamente.

[arcanisgk122]

espa\' fasjkds\\\'\' aksfaksd\\\' s3

mi pregunta es por que te aparecen esas dos \\ extras en el código...

Código PHP:

<?php
function search_escape($str, $char = '\\')
{
    return ereg_replace('[%_]', $char . '\0', $str);
}
?>
 

has tratado??

[GatorV]

Para nada es un lenguaje de programación, simplemente pasas placeholders y ya:

Código PHP:

$stmt = $mysqli->prepare("INSERT INTO foo VALUES(?, ?, ?)");
$stmt->bind_param('sss', $foo, $bar, $baz);
$foo = 'algo"asdasd';
$bar = "otra cosa con '''342\"asda";
$baz = 14;
$stmt->execute();
 

y listo no hay ciencia...