Czy istnieje odpowiednik PHP mysql_real_escape_string() dla DBI Perla?

Question

Czy ktoś może mi powiedzieć, czy istnieje funkcja, która działa tak samo, jak PHP mysql_real_escape_string() dla Perla z modułu DBI?

Answer 1

Powinieneś użyć placeholders and bind values.

Answer 2

Od http://www.stonehenge.com/merlyn/UnixReview/col58.html:

 
    use SQL::Abstract; 
    ... 
    my $sqa = SQL::Abstract->new; 
    my ($owner, $account_type) = @_; # from inputs 
    my ($sql, @bind) = $sqa->select('account_data', # table 
            [qw(account_id balance)], # fields 
            { 
            account_owner => $owner, 
            account_type => $account_type 
            }, # "where" 
           ); 
    my $sth = $dbh->prepare_cached($sql); # reuse SQL if we can 
    $sth->execute(@bind); # execute it for this query 

Answer 3

Jak quote?

Polecam również przeczytanie dokumentacji dla DBD::MySQL, jeśli martwisz się o utf8.

Answer 4

Nie. Ucieczka. SQL.

Nie. Zacytować. SQL.

Użyj symboli zastępczych SQL/parametrów (?). Struktura instrukcji SQL i wartości danych reprezentowane przez symbole zastępcze są wysyłane do bazy danych całkowicie oddzielnie, więc (z wyjątkiem błędu w silniku bazy danych lub module DBD) nie ma absolutnie żadnego sposobu, aby wartości danych mogły być interpretowane jako SQL polecenia.

my $name = "Robert'); DROP TABLE Students; --"; 
my $sth = $dbh->prepare('SELECT id, age FROM Students WHERE name = ?'); 
$sth->execute($name); # Finds Little Bobby Tables without harming the db 

jako korzyść bocznej, przy użyciu symboli zastępczych jest także bardziej efektywne, jeśli ponownie użyć SQL (tylko musi być przygotowany raz) i nie mniej skuteczne, jeśli nie (jeśli nie Zadzwoń, przygotuj się jawnie, wciąż jest wywoływany niejawnie przed wykonaniem zapytania).

Answer 5

Database Uchwyt Metoda "cytat"

my $dbh = DBI->connect(...); 
$sql = sprintf "SELECT foo FROM bar WHERE baz = %s", 
      $dbh->quote("Don't"); 

http://metacpan.org/pod/DBI#quote