mysql_real_escape_string

Question

mysql_real_escape_stringについて調べていると、私と同じことを疑問に思い質問している人がいました。

こちらのページです。
http://oshiete.goo.ne.jp/qa/4423735.html

mysql_real_escape_stringを通してDBに入れるとします。
すると、「テスト\」というデータをINSERTをするとDBには「テスト\」で入るのでしょうか？

では、mysql_real_escape_stringを通さずにdbに入れても
「テスト\」というデータをINSERTをするとDBには「テスト\」で入ると思います。

上記のとおりとした場合、PHPはどうやってmysql_real_escape_stringを通したかどうか判定しているのでしょうか？

現在、mysql_real_escape_stringを通してDBに入れると、
「テスト\」というデータがDBに入っています。

それをどうやって戻すのか調べていて、上記の質問を見つけました。

どうぞよろしくお願いします。

bm_hiro · Accepted Answer

ちょっと興味がわいたので調べてみました。

ＤＢは以下のような感じ。

テーブル : test
フィールド : cd , value
ストレージエンジン : MyISAM

以下を実行。

<?php

/* DBコネクト絡みは省略 */

$str = ' \10,000- ';

$query = "insert into test (value) values ('" . mysql_real_escape_string($str) . "')";
$result = mysql_query($query);

$query = "insert into test (value) values ('" . $str . "')";
$result = mysql_query($query);

$query = "select * from test";
$result = mysql_query($query);
while($dt = mysql_fetch_assoc($result)) { print_r($dt); };

?>

実行結果。

Array ( [cd] => 1 [value] => \10,000- )
Array ( [cd] => 2 [value] => 10,000- )

この時の MySQLの中の test.MYD をバイナリで覗いてみる。
もう このファイルの時点で mysql_real_escape_string してない二つ目のほうには \マークがついてなかったです。

insert した時点で mysql_real_escape_string してないほうの \マークは なかった事になってしまってるみたいです。
設定によるのかもしれませんし、仕組みとかはさっぱり分かってないんですけど。

bm_hiro · Answer

お礼ありがとうございます。
俺は ちゃんと学習した人間ではなく、結果から理解しているだけのところもありますので、話半分に聞いておいてもらえると助かります。

> 勝手に、”\”とるなよ～って言いたいです。

PHPが渡すときにやっているのか、MySQLが受け取るときにやっているのかわかりませんが、エスケープシーケンスとして処理しているって事なんだと思います。

実は ちゃんと エスケープシーケンスについて 説明しようかと思って書いていたのですが、説明が下手すぎてミスディレクションになりかねなかったので、はしょらせていただきました。
↓ ここらへんが分かりやすいかも。
http://www.phpbook.jp/tutorial/string/index4.html

> では、MySQLにデータを入れる場合、mysql_real_escape_stringを通せってことでしょうか？

元々、mysql_real_escape_string がやっている事ってのは、文字列の中の特殊な記号（上記のリンクの一覧）に、\マークを追加してるだけです。

あー、マニュアルに書いてました。
「mysql_real_escape_string() は、MySQL のライブラリ関数 mysql_real_escape_string をコールしています。 これは以下の文字について先頭にバックスラッシュを付加します。 \x00, 
, , \, ', " そして \x1a. 」
バックスラッシュって￥マークの事です。
円は日本の通貨ですし、何でバックスラッシュに当てちゃったかは知りませんが、そうなってます。
日本語に対応していないフォントで￥マークを打つと、左右反転したスラッシュが表示されます。

んで、さらに
「データの安全性を確保するため、MySQL へクエリを送信する場合には （わずかな例外を除いて）常にこの関数を用いなければなりません。 」
とも書かれています。

http://php.net/manual/ja/function.mysql-real-escape-string.php

んー、この結果から考えると MySQLのほうで削ってるっぽいですね。

結局、無駄に長くなってしまってすみません。m(_ _)m

bm_hiro · Answer

> しかし、今回書いたプログラムはなぜか”＼＼”になって困っております。

cakephp も ちいたん ですらも挫折した俺なので、あんまり言えませんが、多分フレームワーク側で追加してるんじゃないですかね？
フレームワークのほうを覗いてみたわけでもありませんし、フレームワークに渡さない書き方をしているのかも知れないので、何ともいえませんけど。

俺は 記憶がかなり怪しくなってるので、後から見た時に分かるようREM満載で書いてます。
さらにフレームワークも扱えないので、ネイティブでゴリゴリ書く事が多いです。

さすがに 面倒な事になると、PEARとか 他のライブラリとか使ったりしますけど、基本、作業効率とか気にしません。

あと昔読んだ誰かのブログか何かに、ある特定の条件で mysql_real_escape_string が セキュリティとして役に立たなくなるような事が書いてあったのがあった気がします。
情報ソースを見つけることができなかったのと、記憶が怪しすぎるのとで 前回書きませんでしたが、そういったことを言っていた人がいた。ぐらいには覚えておいてもらえると良いかもしれません。
数年前のものですし、確か、「あるエンコードである文字を」といった感じだったと思うので、今は 特に問題ないのかもしれません。

また微妙な情報ですみません。

bm_hiro · Answer

あー、何度もすみません。

> phpで作るプログラムって、どれも似たような物になります。

これで、思い出したのですが、昔プログラマの事を「知的単純労働者」だったか「知的肉体労働者」とか言っていた人がいました。

> プログラムは趣味なので書く度にスタイルが変わります。

これも、とてもよく分かります。
俺も 書いた時期によって コードの書き方が 違ってて、昔書いたものなんか すっごい しっかり書いていたりして、俺の劣化具合が伺えて 黄昏たくなる時があります。

今度は情報ですらなくてすみません。
同感できる部分が多かったので なんとなく つい。

bm_hiro · Answer

「どこでやめたらいいのか分からないメール状態」になっている事に一抹の不安を感じつつも、答えれるところだけピックアップして答えたいと思います。

> ところで、私もPEARは使っていました。
> またsmartyなんかも使っていました。
> しかし、今はどちらも廃れたようなイメージがあるのですがどうでしょうか？
smarty は かじった事すらないので、分からないのですが、PEARは「廃れた」というよりかは「枯れた」という感じかもしれません。
俺が PEAR で 使ってるのは、Postfixとかからパイプされてきたメールソースを解析する PEAR::Mail関係のものだけです。
もう数年も前から使用していますが、今も安定して動いてくれています。

ライブラリはメールライブラリのQdmailを好んで使用しています。

> ｍｙｓｑｌの文字化けを防止するために、クエリの前に"SET NAMES utf8"を突っ込むんだ場合でしょうか？
んー、正直自信はないんですけど、「PHPのスクリプトの文字コードとMySQLの文字コードが違った場合」とかだったかもしれません。
あと SET NAME を投げるより mysql_set_charset 使ったほうがいいらしいです。PHPのバージョン依存しますけど。
↓詳しくは こちら。
http://www.phppro.jp/phptips/archives/vol42/1

> また、日本ではプログラマの地位が低いのではないでしょうか？
これに関しても その地位にいたことがないので、正直分かりません。
ただ「ブラック会社に勤めてるんだが、もう俺は限界かもしれない」というのを観た時は「これは酷い」と思いました。
まぁ、ブラック会社だからだろうとは思いましたが。

> また、他のライブラリの場合、言語設定で日本語がないってのもよくあります。
> なんか、日本だけこの世界で取り残されているようなきがします。
正直、これも仕方がないかなって諦めてます。
日本語化されてるのは、日本の有志が作ってくれたものがほとんどで、海外の人がデフォルトで日本語も対応してくれるってのは少ない気がします。
日本以外の世界地図を見ると、やっぱり日本って極東の島国ですから。

> 今回の結果から分かったことは、ｍｙｓｑｌに入れる場合、mysql_real_escape_stringを絶対通さなければいけないことがわかりました。

俺も ちゃんとしたものに使う場合は、mysql_real_escape_string は概ね必ず使ってます。
ただ、関数の名前自体が長すぎて視認性が悪いので、以下のような関数にしちゃってます。
function SX($str) { return(mysql_real_escape_string($str)); }

同様に HTMLも 関数にしちゃってます。
function HX($str) { return(htmlspecialchars($str , ENT_QUOTES)); }

関数にする事によって 負荷的に悪いんじゃないの？という疑問もありつつも気にしてません。

あと、そちらみたいに ちゃんと自分の調べた事も教えてくれる質問者は とてもうれしいです。
回答したのに何の反応もないと「結果どうなったんですか～～？」と思いつつも、記憶から消えていく事になります。

基本的にベストアンサーが欲しいわけではありませんので、このまま閉じないままでもいいのですけど、できれば解決したのであれば、閉じて欲しいなとは思います。

あ～ぅ、また長文になってしまいました。(；￣ー￣A アセアセ

mysql_real_escape_string

ちょっと興味がわいたので調べてみました。

お礼ありがとうございます。

> しかし、今回書いたプログラムはなぜか”＼＼”になって困っております。

この回答への補足

あー、何度もすみません。

この回答への補足

「どこでやめたらいいのか分からないメール状態」になっている事に一抹の不安を感じつつも、答えれるところだけピックアップして答えたいと思います。

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング