PHP 防 SQL 注入：mysql_real_escape_string 最佳實踐與封裝函數

核心原則

mysql_real_escape_string() 需要**已建立的 MySQL 連線**，會根據連線字符集正確轉義特殊字元（引號、反斜線、NUL、換行等），比舊版 mysql_escape_string()（不考慮字符集）更安全。PHP 4.3.0+ / PHP 5 可用。

通用清洗函數（遞迴支援陣列）

<?php
function mysqlClean($data) {
  if (is_array($data)) {
    return array_map('mysqlClean', $data);
  }
  return mysql_real_escape_string($data);
}
?>

使用範例

<?php
$conn = mysql_connect('localhost', 'user', 'pass');
mysql_select_db('mydb', $conn);

// 清洗整個 $_POST
$_POST = mysqlClean($_POST);

// 現在可直接入庫
$sql = "INSERT INTO users (name, email) VALUES ('{$_POST['name']}', '{$_POST['email']}')";
mysql_query($sql, $conn);
?>

進階：長度限制 + 清洗

<?php
function mysqlCleanLen($array, $key, $maxlen) {
  if (!isset($array[$key])) return null;
  $val = substr($array[$key], 0, $maxlen);
  return mysql_real_escape_string($val);
}

// 使用
$_POST['username'] = mysqlCleanLen($_POST, 'username', 20);

重要提醒

1. 必須先連線：在呼叫 mysql_real_escape_string 前已 mysql_connect。
2. 字符集一致：資料庫、表、欄位、連線字符集應統一（建議 SET NAMES utf8mb4），否則轉義可能錯誤。
3. 首選 Prepared Statement：mysqli/PDO 的參數綁定（prepare/bind_param）從根本上分離代碼與資料，比轉義更安全、效能更好。mysql_* 函數已在 PHP 7 移除。
4. 不要自行拼接 SQL：即使經過轉義，複雜語境（識別符、LIMIT 值、ORDER BY 欄位）仍有風險。

現代化寫法

<?php
$pdo = new PDO('mysql:host=localhost;dbname=mydb;charset=utf8mb4', 'user', 'pass');
$stmt = $pdo->prepare('INSERT INTO users (name, email) VALUES (?, ?)');
$stmt->execute([$_POST['name'], $_POST['email']]);

結語

mysql_real_escape_string 是舊版 PHP/MySQL 時代的防注入基石，正確用法需「先連線、再清洗、配合字符集」。現代專案請直接採用 PDO 或 mysqli Prepared Statement，徹底杜絕 SQL 注入風險。