PHP mysql_escape_string() 函數用法解析與替代方案

mysql_escape_string() 用於對 SQL 查詢中的字串進行轉義，防止單引號導致語法錯誤或注入。

基本用法

$item = "aaa's bbb";
$escape_item = mysql_escape_string($item);
// 結果：aaa\'s bbb

若直接拼接 select * from tbl where name = '$name' 且 $name = "0'Malley,Brian"，會產生錯誤 SQL；經轉義後變為 0\'Malley,Brian，查詢正常。

重要提醒

• PHP 5.3 已棄用，PHP 7 移除。
• 不建議在新專案使用。
• 替代方案：
  – mysqli::real_escape_string()（物件導向）
  – mysqli_real_escape_string()（程序式）
  – 最佳實踐：使用 Prepared Statements（參數綁定），從根本杜絕注入風險。