yohgaki's blog - addslashesによるエスケープ処理は止めましょう

(Last Updated On: 2018年8月13日)追記：PHPエスケープ関連の検索でこのエントリを参照されたと思います。PHPでのエスケープ全般については以下のエントリを参照してください。 PHP文字列のエスケープ セキュリティmemoにaddslashesよるエスケープ処理でSQLインジェクションが可能なるという記事を見つけました。 私のセミナーを聞いたことがある方は「addslashesによるエスケープ処理は止めましょう」と言っていた事を覚えているでしょうか? mysql_real_escape_string()やpg_escape_string()等のデータベース専用のエスケープ関数を使いましょう、とも話しています。 ちなみにSQLiteを使っている場合はaddslashesでエスケープ処理はNGです。もっと根本的に間違っています。SQLiteではMS SQL Server,

[kjtec]

“索でこのエントリを参照されたと思います。PHPでのエスケープ全般については以下のエントリを参照してください。”

[tyamamoto]

このエントリーのコメント欄も大事なこと。

[hiro_y]

各DB用のエスケープ関数を使うこと。addslashesはダメ。

[senchou]

PHPでSQLインジェクションを避ける諸々

[KoshigoeBushou]

mysql_real_escape_string()使え

[cvyan]

「mysql_real_escape_string()やpg_escape_string()等のデータベース専用のエスケープ関数を使いましょう」

[wacky]

addslashes関数ではなく、DB専用のエスケープ関数（mysql_real_escape_stringなど）を使う。特にSQLiteではaddslashesはNG。

[denken]

『PHPサイバーテロの技法』と正反対の主張。さてどっちどっち。