Escapar cadena antes de INSERT

[humanista]

Hola, ando un poco perdido.

Tengo un texto que quiero insertar en una base de datos. En ese texto pueden aparecer comillas simples y dobles y todo tipo de caracteres especiales. He estado leyendo las diferentes funciones de PHP para escapar los caracteres pero no me queda claro cuál usar:

- mysql_real_escape_string
- mysqli_real_escape_string
- mysql_escape_string
- mysqli_escape_string
- htmlspecialchars
- addslashes

[webankenovi]

si es para una consulta mysql_real_escape_string el mismo nombre lo dice , aunque tambien puedes escapar antes de la consulta con htmlspecialchars y ya despues mysql_real_escape_string

[humanista]

No es para una consulta realmente.

Lo que tengo que hacer es preparar primero el campo (escaparlo) para después, una vez ya escapado, hacer un INSERT y meterlo en la base de datos.

Cuál sería la función más adecuada a utilizar?

Graciasss

[webankenovi]

usa strip_tags o htmlentities o htmlspecialchars tambien es segun que variable y que deseas escapar y despues en la consulta ya usas mysql_real_escape_string y si quieres lo combinas con addslashes o stripslashes

[humanista]

ya uso strip_tags pero eso es para quitar las tags html, lo que quiero es escapar caracteres especiales antes del INSERT, como por ejemplo las comillas simples o dobles. aún sigo dudando qué es mejor.

[informacionsys]

hola

te refieres a algo asi:

Código PHP:

$cadena = "valor='web'";
$patt = "/[\"\']/";
 
echo $valida = preg_replace($patt,"",$cadena);
 

[webankenovi]

haber paso a paso

mysql_real_escape_string() llama a la función mysql_real_escape_string de la biblioteca de MySQL, la cual antepone barras invertidas a los siguientes caracteres: \x00, \n, \r, \, ', " y \x1a.
mysql_real_escape_string — Escapa caracteres especiales en un string para su uso en una sentencia SQL

http://php.net/manual/es/function.my...ape-string.php


stripslashes — Quita las barras de un string con comillas escapadas
Devuelve un string con las barras invertidas retiradas. (\' se convierte en ' y así sucesivamente.) Barras invertidas dobles (\\) se convierten en una sencilla (\).

http://es.php.net/manual/es/function.stripslashes.php


addslashes — Añade barras invertidas a una cadena
Devuelve una cadena con barras invertidas delante de los carácteres que necesitan escaparse en situaciones como consultas de bases de datos, etc. Los carácteres que se escapan son la comilla simple ('), comilla doble ("), barra invertida (\) y NUL (el byte NULL).

http://es.php.net/manual/es/function.addslashes.php


strip_tags — Retira las etiquetas HTML y PHP de un string
http://es.php.net/manual/es/function.strip-tags.php


htmlentities — Convierte todos los caracteres aplicables a entidades HTML
http://es.php.net/manual/es/function.htmlentities.php


htmlspecialchars — Convierte caracteres especiales en entidades HTML

'&' (et) se convierte en '&'
'"' (comillas dobles) se convierte en '"' cuando ENT_NOQUOTES no está establecido.
"'" (comilla simple) se convierte en ''' (o ') sólo cuando ENT_QUOTES está establecido.
'<' (menor que) se convierte en '&lt;'
'>' (mayor que) se convierte en '&gt;'
http://es.php.net/manual/es/function...ecialchars.php

[humanista]

Muchas gracias, las explicaciones son muy buenas y detalladas pero... el tema es que no sé cuál es la mejor.

Es decir tengo un texto con <b> <font size...>, ' " ¿ ? & y demás "fauna" de caracteres. Los tengo que convertir en "texto normal" (plano o no) o algo parecido para insertarlo en la base de datos y después mostrarlo.

No quiero almacenar tags html por lo que tengo claro que necesito hacer strip_tags pero... luego? Necesito convertir ese texto (que puede tener comillas simples, dobles, ?¿, !, @, &, ñ... cualquier cosa) en algo que pueda meter en la base de datos y luego sacar y mostrarlo sin problema.

Qué función podría ser la más efectiva?

$mitexto=strip_tags($mitexto); // esto es seguro

$mitexto=WHAT_FUNCTION($mitexto); // esto es lo que necesito

INSERT .... $mitexto........

y luego claro:

SELECT... $mitexto....

[webankenovi]

vale haber entonces suponiendo que quieres introducir algo asi

$STRING = '<b> "HOLA MUNDO" </b>'; // muestra <b>"hol@ mundo"</b> codigo fuente
$STRING = htmlspecialchars('<b>"hol@ mundo"</b>',ENT_QUOTES); // muestra &lt;b&gt;&quot;hol@ mundo&quot;&lt;/b&gt; codigo fuente

entonces ya lo guardamos en la bd haciendo antes un mysql_real_escape_string

y a la hora de mostrarlo nuevamente traido de la bd

$STRING = htmlspecialchars_decode($campo_de_la_bd,ENT_QUOTES ); // muestra nuevamente <b>"hol@ mundo"</b>

espero te sriva

[humanista]

Creo que no nos entendemos aún al 100% ;)

Tengo esto:

Código PHP:

$STRING = '<b> "HOLA MUNDO" </b>';
 

hago esto (esto seguro que lo hago):

Código PHP:

$STRING=strip_tags($STRING);
 

Ahora que tengo el string sin etiquetas HTML, tengo que escapar las comillas y resto de caracteres raros con alguna función:


$mitexto=WHAT_FUNCTION($mitexto); // esto es lo que necesito


Luego hago el insert:


INSERT .... $mitexto........


y luego claro, lo saco:


SELECT... $mitexto....

[webankenovi]

$mitexto=WHAT_FUNCTION($mitexto); // esto es lo que necesito

crea la funcion tu mismo

[GatorV]

Usa mejor PDO y PreparedStatements así te olvidas de las comillas

[humanista]

Lo de WHAT_FUNCTION me refiero a qué función debería usar de PHP para que me escapar comillas y demás caracteres "raros".

Por ahora he empezado a usar mysql_real_escape_string pero no estoy seguro de estar haciéndolo bien.

Veo que hay muchas opciones y me imagino que dependerá de múltiples situaciones el uso de unas u otras porque aún no está claro cuál he de usar.

Lo de PDO y PreparedStatements, he estado mirando y se me escapa un poco a mis limitados conocimientos.

De todas formas gracias!

[GatorV]

Es sencillo usar PDO:

Código PHP:

<?php
$dsn = 'mysql:dbname=testdb;host=127.0.0.1';
$user = 'dbuser';
$password = 'dbpass';
 
try {
    $dbh = new PDO($dsn, $user, $password);
} catch (PDOException $e) {
    echo 'Connection failed: ' . $e->getMessage();
}
 
$nombre = $_GET['nombre'];
$sth = $dbh->prepare('SELECT * FROM personas WHERE name = ?');
$sth->execute(array($nombre));
foreach ($sth->fetchAll() as $row) {
    var_dump($row);
}