论坛注册表单PHP代码调用mysql_real_escape_string未定义报错排查

AI 小北

2026-9-25

报错原因

PHP的mysql_系列扩展早在PHP 5.5版本就被标记为废弃，在PHP 7.0及以上版本已经被完全移除，所以当你的运行环境是PHP7.0+版本时，调用mysql_real_escape_string()就会触发未定义函数的报错。

当前代码还存在两个额外的安全风险：

直接extract($_POST)会将所有POST参数注册为当前作用域的变量，存在变量覆盖风险
手动转义字符串的SQL注入防护方案容错率低，容易出现遗漏或转义逻辑错误

可行解决方案

优先推荐改用PDO或mysqli扩展的预处理语句，防护SQL注入的可靠性远高于手动转义。

方案1：改用mysqli扩展预处理语句（最推荐）
首先修改db.php内的数据库连接逻辑为mysqli格式：

// db.php 示例
$conn = mysqli_connect('数据库主机地址', '数据库用户名', '数据库密码', '目标库名');
if (!$conn) {
    die("数据库连接失败: " . mysqli_connect_error());
}

原有业务逻辑替换为如下代码：

include "db.php";
// 手动接收参数替代extract，避免变量覆盖
$fname = $_POST['fname'] ?? '';
$lname = $_POST['lname'] ?? '';

// 预处理语句占位，不需要手动转义参数
$stmt = mysqli_prepare($conn, "INSERT INTO 你的表名 (fname, lname) VALUES (?, ?)");
// 绑定参数，ss代表两个参数都是字符串类型
mysqli_stmt_bind_param($stmt, "ss", $fname, $lname);
// 执行SQL
mysqli_stmt_execute($stmt);

方案2：临时兼容旧代码，改用mysqli对应转义方法（仅适合临时过渡，不推荐长期使用）

include "db.php";
$fname = str_replace("'","`",$fname); 
// 必须传入mysqli连接实例$conn
$fname = mysqli_real_escape_string($conn, $fname); 

$lname = str_replace("'","`",$lname); 
$lname = mysqli_real_escape_string($conn, $lname);