Resonemang från metodnamnet queryAsArray
, det verkar som att du använder denna DbBase klass från kommentarerna på MySQL-funktionsmanualsidan
. Om så är fallet är det query
metod som tar bort escape-tecknet från citattecken:
function query($sql, &$records = null){
$sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
// …
}
Då är det inte ett mirakel att ditt exempel fungerar (jag förenklade det):
$input = "', BAD SQL INJECTION --";
$sql = "SELECT '".mysql_real_escape_string($input)."'";
var_dump($sql); // string(33) "SELECT '\', BAD SQL INJECTION --'"
// everything’s OK ↑
$sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
var_dump($sql); // string(32) "SELECT '', BAD SQL INJECTION --'"
// Oops! ↑