В чем разница между mysql_real_escape_string и addlashes?

Кажется, что mysql_real_escape_string безопасен для двоичного кода - в документации указано:

If binary data is to be inserted, this function must be used.

Я думаю, что, наверное, безопаснее всегда использовать mysql_real_escape_string, чем добавлять слэши.

string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )
mysql_real_escape_string() calls MySQL's library function mysql_real_escape_string, which prepends backslashes to the following characters: \x00, \n, \r, \, ', " and \x1a.

string addslashes ( string $str )
Returns a string with backslashes before characters that need to be quoted in database queries etc. These characters are single quote ('), double quote ("), backslash (\) and NUL (the NULL byte).

Они влияют на разных персонажей. mysql_real_escape_string специфичен для MySQL. Добавление слэшей - это просто общая функция, которая может применяться не только к MySQL, но и к другим вещам.

mysql_real_escape_string следует использовать при получении двоичных данных, addslashes - для ввода текста.

Вы можете увидеть различия здесь: mysql-реальная-escape-строка и добавляет слэши

mysql_real_escape_string() имеет дополнительное преимущество, заключающееся в правильном экранировании ввода текста по отношению к набору символов базы данных с помощью необязательного параметра link_identifier.

Осведомленность о наборе символов - важное различие. addslashes() будет добавлять косую черту перед каждым восьмибитным двоичным представлением каждого символа, который нужно экранировать.

Если вы используете какую-либо форму многобайтового набора символов, возможно, хотя, вероятно, только из-за плохой конструкции набора символов, что одна или обе половины шестнадцати- или тридцатидвухбитного представления символа идентичны восьми битам символа addslashes(). добавит косую черту к.

В таких случаях вы можете добавить косую черту перед символом, который не следует экранировать, или, что еще хуже, вы можете получить косую черту в середине шестнадцати (или 32-битного) символа, что приведет к повреждению данных.

Если вам нужно экранировать контент в запросах к базе данных, вы всегда должны использовать mysql_real_escape_string(), где это возможно. addslashes() подходит, если вы уверены, что база данных или таблица использует только 7- или 8-битную кодировку ASCII.

Случай 1:

$str = "input's data";

print mysql_real_escape_string($str);      input\'s data

print addslashes($str);                    input\'s data;

случай 2:

$str = "input\'s data";

print mysql_real_escape_string($str);      input\'s data

print addslashes($str);                    input\'s data;