php SQL-Injection-Escape-Zeichenfolge

Question

ich habe diesen Code, und aus irgendeinem Grund, bringt es auf den genauen Wert (einschließlich mysql_real ...)

mysql_query("INSERT INTO members (username) VALUES ('mysql_real_escape_string($uname)')"); 

wie umschreiben ich das so mache ich das nicht haben Problem?

Answer 1

mysql_real_escape_string ist eine PHP-Funktion, keine MySQL-Funktion.

$value = mysql_real_escape_string($uname); 

mysql_query("INSERT INTO members (username) VALUES ('$value')"); 

UPDATE: Inline mysql_real_escape_string

mysql_query("INSERT INTO members (username) VALUES ('".mysql_real_escape_string($uname)."')");

Answer 2

Sie auch eine prepared statement verwenden könnte, wo PDO Pflege für zu entkommen nimmt alles, was Datenbank funktioniert es mit (nicht nur MySQL):

$stmt = $dbh->prepare("INSERT INTO members (username) VALUES (:username)"); 

// either: 
$stmt->bindParam(':username', $uname); 
$stmt->execute(); 

// or as Corbin pointed out in the comments: 
$stmt->execute(array('username' => $uname))