PHP mysqli_real_escape_string() 函数（一文讲透）

💡一则或许对你有用的小广告

欢迎加入小哈的星球 ，你将获得：专属的项目实战 / 1v1 提问 / Java 学习路线 / 学习打卡 / 每月赠书 / 社群讨论

• 新项目:《从零手撸：仿小红书（微服务架构）》 正在持续爆肝中，基于 Spring Cloud Alibaba + Spring Boot 3.x + JDK 17...，点击查看项目介绍 ;
• 《从零手撸：前后端分离博客项目（全栈开发）》 2 期已完结，演示链接： http://116.62.199.48/ ;

截止目前， 星球 内专栏累计输出 82w+ 字，讲解图 3441+ 张，还在持续爆肝中.. 后续还会上新更多项目，目标是将 Java 领域典型的项目都整一波，如秒杀系统, 在线商城, IM 即时通讯，权限管理，Spring Cloud Alibaba 微服务等等，已有 2900+ 小伙伴加入学习 ，欢迎点击围观

在 PHP 开发中，数据库操作的安全性始终是开发者需要重点关注的领域。PHP mysqli_real_escape_string() 函数作为防止 SQL 注入攻击的核心工具之一，其作用和正确使用方法对于编程初学者和中级开发者而言至关重要。本文将从基础概念、使用场景、实际案例到常见误区，逐步解析这一函数的核心原理与最佳实践，帮助读者构建更安全的数据库交互逻辑。

一、什么是 SQL 注入？为什么需要转义？

SQL 注入是一种常见的安全漏洞，攻击者通过在输入字段中注入恶意 SQL 代码，从而绕过应用程序的安全验证，进而读取、修改或删除数据库中的敏感数据。例如，用户注册时的用户名输入框若未经过严格过滤，攻击者可能输入类似 ' OR 1=1 -- 的字符串，导致系统执行非预期的 SQL 语句。

转义的作用：通过将特殊字符（如单引号、反斜杠等）转换为安全形式，确保输入内容被数据库视为普通文本而非 SQL 代码。这如同在危险的道路上设置路障，防止恶意指令“闯入”数据库执行流程。

二、mysqli_real_escape_string() 函数详解

1. 函数基础语法

string mysqli_real_escape_string(mysqli $link, string $escape_str)  

• 参数说明：
  • $link：数据库连接对象，需通过 mysqli_connect() 或 new mysqli() 创建。
  • $escape_str：需要转义的字符串。
• 返回值：转义后的字符串，若发生错误则返回 false。

2. 转义机制：如何“翻译”特殊字符？

该函数会将以下特殊字符进行转义（添加反斜杠 \）：
| 原始字符 | 转义后的形式 |
|----------|--------------|
| ' | \' |
| " | \" |
| \ | \\ |
| NUL| \0 |
| \n | \n |
| \r | \r |

形象比喻：这就像在文本中为特殊符号“穿上防护服”，确保数据库引擎不会误将其识别为 SQL 语法的一部分。

三、使用场景与代码示例

1. 基础用法：插入用户输入

假设用户提交了一个包含单引号的评论内容，如 I'm a developer，未转义时可能导致 SQL 语法错误或注入漏洞：

// 错误示例：直接拼接字符串  
$query = "INSERT INTO comments (content) VALUES ('" . $_POST['content'] . "')";  

// 正确示例：使用 mysqli_real_escape_string  
$escaped_content = mysqli_real_escape_string($conn, $_POST['content']);  
$query = "INSERT INTO comments (content) VALUES ('$escaped_content')";  

2. 高级场景：动态查询与参数化查询对比

虽然 mysqli_real_escape_string() 能有效防御 SQL 注入，但更推荐使用 预处理语句（Prepared Statements） 来替代字符串拼接。例如：

// 使用预处理语句（更安全的方式）  
$stmt = $conn->prepare("INSERT INTO users (username) VALUES (?)");  
$stmt->bind_param("s", $username);  
$stmt->execute();  

但若因兼容性或代码重构成本限制需使用字符串拼接，则 mysqli_real_escape_string() 是必要选择。

四、常见误区与注意事项

1. 必须关联有效的数据库连接

若未建立或传递错误的 $link 参数，函数将无法正确转义。例如：

// 错误示例：未连接数据库  
$escaped = mysqli_real_escape_string(null, "test'"); // 返回 false  

解决方案：确保在调用前已成功连接数据库：

$conn = mysqli_connect("localhost", "user", "password", "database");  
if (!$conn) {  
    die("连接失败: " . mysqli_connect_error());  
}  

2. 转义与编码的配合使用

若数据库使用 utf8mb4 编码，需先设置连接字符集：

mysqli_set_charset($conn, "utf8mb4");  

否则特殊字符（如表情符号）可能因编码不一致导致转义失效。

3. 不要重复转义

多次调用 mysqli_real_escape_string() 会导致字符被重复转义，例如：

// 错误示例：重复转义  
$double_escaped = mysqli_real_escape_string($conn,  
    mysqli_real_escape_string($conn, "O'Reilly"));  
// 结果为：O\\'Reilly（多了一个反斜杠）  

五、对比其他方法：为何选择它？

1. 与 addslashes() 的区别

addslashes() 是 PHP 内置函数，但其转义规则与数据库无关，可能遗漏某些特殊字符。例如：

// addslashes() 无法处理 NUL 字符  
$addslashes_result = addslashes("\0"); // 输出 \0（未转义为 \0）  
$mysqli_result = mysqli_real_escape_string($conn, "\0"); // 输出 \0  

2. 预处理语句 vs 字符串转义

六、实战案例：防御 SQL 注入攻击

1. 场景：用户登录验证

假设用户提交的 username 和 password 需要安全地查询数据库：

$username = $_POST['username'];  
$password = $_POST['password'];  

// 正确处理方式  
$escaped_username = mysqli_real_escape_string($conn, $username);  
$escaped_password = mysqli_real_escape_string($conn, $password);  

$query = "SELECT * FROM users WHERE username = '$escaped_username' AND password = '$escaped_password'";  

但更优方案是改用预处理语句：

$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");  
$stmt->bind_param("ss", $username, $password);  
$stmt->execute();  

2. 漏洞演示与修复

漏洞示例：
用户输入 username = ' OR '1'='1，未转义时 SQL 变为：

SELECT * FROM users WHERE username = '' OR '1'='1'  

这会导致查询条件始终为真，攻击者可绕过认证。

修复后：
通过转义，输入内容变为 \' OR \'1\'=\'1，SQL 语句变为：

SELECT * FROM users WHERE username = '\' OR \'1\'=\'1'  

此时查询条件无效，攻击失效。

结论

PHP mysqli_real_escape_string() 函数 是开发中不可或缺的安全工具，尤其在无法采用预处理语句的场景下，它能有效降低 SQL 注入风险。然而，开发者需始终遵循“防御分层”原则：

1. 输入过滤：限制输入格式（如正则表达式校验）。
2. 转义与预处理：结合使用字符串转义和预处理语句。
3. 最小权限原则：为数据库账号分配最小必要权限。

通过理解其原理、规避常见错误并结合最佳实践，开发者能构建更健壮的 PHP 应用程序。在安全性与代码可维护性之间找到平衡，是每位开发者进阶路上的关键一步。