PHP 5.6.0beta1 released

sqlite_escape_string

(PHP 5 < 5.4.0, PECL sqlite >= 1.0.0)

sqlite_escape_stringProtège une chaîne de caractères pour utilisation avec SQLite

Description

string sqlite_escape_string ( string $item )

sqlite_escape_string() va ajouter des guillemets dans la chaîne item, pour qu'elle puisse être utilisée correctement dans une requête SQL. Cela inclut notamment le doublement des guillemets simples ('), et la vérification des caractères binaires non sécuritaires, de la chaîne de requête.

Bien que ce codage sécurise l'insertion des données, il va rendre la recherche de texte par simple comparaison, ou en utilisant la clause LIKE, inutilisable dans vos requêtes pour les colonnes qui contiennent ces données binaires. En pratique, cela ne devrait pas être un problème, car votre utilisation de la base devrait faire que vous n'utiliserez pas ces colonnes (en fait, il est mieux de stocker des données binaires dans d'autres systèmes, comme des fichiers).

Liste de paramètres

item

La chaîne de caractères à échapper.

Si item contient le caractère NUL et qu'il commence avec un caractère dont la valeur ordinale est 0x01, PHP va appliquer un schéma de codage, pour que vous puissiez stocker puis relire correctement ces données.

Valeurs de retour

Retourne une chaîne de caractères échappée afin de l'utiliser dans des requêtes SQLite SQL.

Notes

Note: N'utilisez pas cette fonction pour coder les valeurs retournées par des fonctions utilisateurs, créées avec les fonctions sqlite_create_function() ou sqlite_create_aggregate() : utilisez plutôt sqlite_udf_encode_binary().

Avertissement

addslashes() NE doit PAS être utilisée pour protéger vos requêtes dans SQLite. Cela va conduire à d'étranges résultats lors de la lecture de vos données.

Voir aussi

add a note add a note

User Contributed Notes 4 notes

up
3
carlo_greco at live dot it
4 years ago
You can try this (it works with strings and arrays):

<?php
// oop

class sqlite extends SQLiteDatabase {
    public function
escape($data) {
        if(
is_array($data))
            return
array_map("sqlite_escape_string", $data);

        return
sqlite_escape_string($data);
    }
}

$db = new sqlite("dbname");
$values = array("hell'o", "he'y");
$values = $db->escape($values); // returns array("hell''o", "hey''y")

// procedural

function sqlite_myescape($data) {
    if(
is_array($data))
        return
array_map("sqlite_escape_string", $data);

    return
sqlite_escape_string($data);
}

$values = array("hell'o", "he'y");
$values = sqlite_myescape($values); // returns array("hell''o", "hey''y")
?>
up
2
soletan at toxa dot de
9 years ago
@minots: simplify what you are doing:

<?php

function sqlite_escape_array( &$arr ) {

 
$invalid = array( 'argv', 'argc' );

  foreach (
$arr as $key => $val )
     if ( (
strtoupper( $key ) != $key ) && !is_numeric( $key ) && !in_array( $key, $invalid ) ) {
       if (
is_string( $val ) )
          
$arr[$key] = sqlite_escape_string( $val );
       else if (
is_array( $val ) )
          
sqlite_escape_array( $arr[$key] );
     }

  return
$arr;
}

?>

I'm not sure if the condition is equivalent to yours, but this excludes any numeric key, any completely uppercase'd keys and some selected (argc and argv) special keys. In case of never passing $GLOBALS or $_SERVER as argument one might shorten everything to this as a "pipelined" version:

<?php

function sqlite_escape_array( $arr ) {

  foreach (
$arr as $key => $val )

    if (
is_string( $val ) )
     
$arr[$key] = sqlite_escape_string( $val );

    else if (
is_array( $val ) )
     
$arr[$key] = sqlite_escape_array( $val );

  return
$arr;

}

?>

PHP's syntax is more powerful than those of many other languages, even when it's supporting their one's as well.
up
0
10 years ago
sometimes i you have to escape an array instead of a string.
my function to do it works like:
array sqlite_escape_array ( &array string)

<?php
function sqlite_escape_array(&$arr)
{
  while ( list(
$key, $val) = each($arr) ):
    if ( (
strtoupper($key)!=$key OR "".intval($key) == "$key") && $key!="argc" and $key!="argv"):
        if (
is_string($val)):
           
$arr[$key]=sqlite_escape_string($val);
        endif;
        if (
is_array($val)):
           
$arr[$key]=sqlite_escape_array($val);
        endif;
    endif;
  endwhile;
  return
$arr;
}
?>
up
-1
jwzumwalt at neatinfo dot com
2 years ago
sqlite_escape_string() does not catch all HTML characters that may 
conflict with a browser display. Notice the difference with the
custom routine below

<?php
# php lib command
$str = "Advoid! /slashes\, 'single' and these <too>";
$str = sqlite_escape_string($str);
echo
"<br>$str<br>";

# custom function
$str = "Advoid! /slashes\, 'single' and these <too>";
$str = clean($str);
echo
"<br>$str<br>";

function
clean($str) {
 
$search  = array('&'    , '"'     , "'"    , '<'   , '>'    );
 
$replace = array('&amp;', '&quot;', '&#39;', '&lt;', '&gt;' );

 
$str = str_replace($search, $replace, $str);
  return
$str;
}
?>

Output:
Advoid! /slashes\, "single" and these
Advoid! /slashes\, 'single' and these <too>
To Top