php / mysql insert values aus variable

ist zwar schon lange her, aber afaik musst sie escapen:

http://php.net/manual/en/function.addslashes.php

edit: description beachten -> gibt vll bessere möglichkeiten als die funktion addslashes selbst

Die richtige Antwort ist mysql_real_escape_string(). addslashes() hat Sicherheitsprobleme.

In deinem Fall wäre das dann:

Code:

mysql_query("insert into tablename value ('".mysql_real_escape_string($var1,$link)."')",$link);

Hier ist mal wieder das angebracht.

Gibts in PHP keine gebundenen Query-Parameter, so wie in echten Programmiersprachen?

Ich löse das gerne mit vsprintf(). Somit wird der SQL-Code erst kurz vor dem Ausführen des Queries erzeugt und vorab ordentlich geprüft. %s also Strings werden mit mysql_real_escape_string() gesichert, Zahlen werden automatisch gecasted usw. Damit hat sich ein Großteil der Sorgen durch SQL-Injections erledigt, den Rest muss das Gehirn machen.

Ein Vorteil der Technik ist übrigens ein schöner SQL-Code, der nicht mit eingefügten PHP-Variablen und diversen String-Operationen unleserlich gemacht wird.

Habe ich bisher nicht substituieren müssen. Aber wenn, dann würde ich unter Umständen einen eigenen Parameter dafür nutzen (zB %a) und an dessen Stelle das als String dargestellte Array (zB 'value1','value2', ...) einsetzen.