Как сохранить & ' " в Mysql php?

Question

[Кирилл Горелов]

Ребят, привет.
Подскажите как сохранить текст в базу, если он содержит знаки ' и ".
Мой запрос: INSERT INTO `message`(`email_otvet`, `messageh`, `messaget`) VALUES ('$emailotveta','$messageh', '$messaget')";
Мне приходится перед сохранением эти знаки делать в спецсимволы

$messageh = str_replace('"', '"', $messageh);
 $messageh = str_replace("'", "'", $messageh);

На выходе, что бы отправить это содержимое через get параметр делать обратно

$messageh = str_replace('"', '"', $messageh);
 $messageh = str_replace("'", "'", $messageh);

Как мне избавиться от этих лишних действий!

Comments

[AlikDex]

Э - экранирование.
$messageh = addslashes($messageh);

А вообще ваш запрос это говнокодище. Ипользуйте пдо или мускули с подготовленными выражениями.

[Кирилл Горелов]

AlikDex, спасибо) Я понимаю, что это далеко не лучший вариант!

[AlikDex]

Кирилл Горелов: Это - вариант лучше чем ваш. К слову, при использовании подготовленных выражений драйвера бд сами экранируют по дефолту всякие кавычки и спец символы именно таким способом.

[Кирилл Горелов]

AlikDex: Кстати, я уже потихоньку переделываю запрос на pdo в своих проектах. Не особо сложнее чем что у меня написано) Спасибо.
Давно собирался перейти на pdo, руки не доходили.)

Answer 1

[Rsa97]

Использовать PDO или mysqli с плейсхолдерами.

Answer 2

[Илья]

Вообще не круто вы поступаете.

Немного теории: https://ru.wikipedia.org/wiki/Внедрение_SQL-кода

Немного практики: php.net/manual/ru/pdo.prepare.php

Немного кода:

$dbh->prepare('INSERT INTO `message`(`email_otvet`, `messageh`, `messaget`) VALUES (?, ?, ?)')->execute([
    $emailotveta, $messageh, $messaget
]);

Answer 3

[Илья Караваев]

Можно просто экранировать эти символы.
В каждом драйвере для этих целей имеется специальная функция.

php.net/manual/ru/mysqli.real-escape-string.php
php.net/manual/ru/pdo.quote.php

Или использоваться подготовленные запросы, тогда за Вас всю работу сделает драйвер.
Но не всегда же получается использовать подготовленный запрос, поэтому знать об экранировании желательно.

Answer 4

[Виктор Янышев]

Символы в их сущность htmlentitiens()