如何使用MySQLi安全且正确地存储和检索含单引号的字符串？

嘿，我看到你现在用mysqli_real_escape_string来处理表单数据插入数据库，这已经是个不错的起点，但咱们可以再优化下，确保完全安全且正确处理含单引号的内容——毕竟单引号是SQL里的字符串边界符，处理不好不仅会导致插入失败，还可能引发SQL注入风险。

先说说你当前方法的注意点 #

你现在用的mysqli_real_escape_string确实能转义单引号、反斜杠等特殊字符，避免SQL语法错误和基础注入，但有两个关键细节不能忽略：

• 必须设置正确的连接字符集：在你的connect.php里一定要加上mysqli_set_charset($link, 'utf8mb4');，如果字符集不匹配，转义操作可能失效，还会导致中文、特殊字符乱码。
• SQL语句里的变量必须加引号：你的插入SQL得把每个变量用单引号括起来，比如：

  $sql = "INSERT INTO posts (title, subtitle, etad, author, Author_URL, URL) VALUES ('$title', '$subtitle', '$etad', '$author', '$Author_URL', '$URL')";
  

  要是没加引号，哪怕转义了单引号，SQL语法还是会报错。

更安全的方案：使用预处理语句（Prepared Statements） #

手动转义容易出错，而预处理语句是MySQLi推荐的安全标准——它会把SQL结构和数据完全分离，自动处理所有特殊字符（包括单引号），从根源上杜绝SQL注入。

插入数据的预处理示例

include('connect.php');
// 先确保字符集正确
mysqli_set_charset($link, 'utf8mb4');

// 准备预处理语句，用?作为占位符
$stmt = mysqli_prepare($link, "INSERT INTO posts (title, subtitle, etad, author, Author_URL, URL) VALUES (?, ?, ?, ?, ?, ?)");

// 绑定参数：'ssssss'表示6个参数都是字符串类型，顺序要和占位符对应
mysqli_stmt_bind_param($stmt, 'ssssss', $_POST['title'], $_POST['subtitle'], $_POST['etad'], $_POST['author'], $_POST['Author_URL'], $_POST['URL']);

// 执行语句
mysqli_stmt_execute($stmt);

// 检查插入结果
if(mysqli_stmt_affected_rows($stmt) > 0) {
    echo "数据插入成功！";
} else {
    echo "插入失败：" . mysqli_error($link);
}

// 清理资源
mysqli_stmt_close($stmt);
mysqli_close($link);

检索数据的正确姿势

用预处理存储的数据，检索时不需要做任何反转义操作，数据库里保存的就是你原始的字符串（包括单引号），直接取出使用即可。如果要在HTML页面显示，记得用htmlspecialchars()防止XSS攻击：

include('connect.php');
mysqli_set_charset($link, 'utf8mb4');

// 假设要查询ID为$postId的文章
$postId = 123;
$stmt = mysqli_prepare($link, "SELECT title, subtitle FROM posts WHERE id = ?");
// 绑定整数类型的参数（用'i'表示）
mysqli_stmt_bind_param($stmt, 'i', $postId);
mysqli_stmt_execute($stmt);

// 绑定结果到变量
mysqli_stmt_bind_result($stmt, $title, $subtitle);
// 获取结果
mysqli_stmt_fetch($stmt);

// 安全输出，htmlspecialchars会转义HTML特殊字符，防止XSS
echo "标题：" . htmlspecialchars($title, ENT_QUOTES, 'UTF-8') . "<br>";
echo "副标题：" . htmlspecialchars($subtitle, ENT_QUOTES, 'UTF-8');

// 清理资源
mysqli_stmt_close($stmt);
mysqli_close($link);

最后总结几个核心要点 #

• 优先用预处理语句，别依赖手动转义——这是最可靠的防注入方式。
• 永远设置utf8mb4字符集，它支持所有Unicode字符（包括emoji），避免乱码和转义失效。
• 前端输出数据时，一定要用htmlspecialchars()处理，防止XSS攻击，尤其是用户输入的内容。

内容的提问来源于stack exchange，提问作者Devon Stuper