Utilizzare il replace con gli apici

[nevarim]

vi prego non mi crocifiggete per la banalità del problema che vi posto qui sotto

problema apici nelle stringhe

il problema che ho nella sintassi di mysql non in quella di php, in pratica io vorrei usare la stringa:

insert into nome_tabella (colonnatesto) values (fraseconapice)

ovviamente quando il sito la manda il server tira fuori il ditino e mi manda a quel paese

so che si può utilizzare la funzione replace in mysql e ho trovato la sintassi, ma non riesco a usarla...


saro scemo :P


qualcuno mi aiuta?

mettiamo che la frase che voglio inserire è 'l'acquila'

[filippo.toso]

Ti consiglio di iniziare leggendo il manuale ufficiale:

http://www.php.net/mysql_real_escape_string
http://www.php.net/mysql_escape_string
http://www.php.net/manual/en/securit...-injection.php

E anche:

http://php.html.it/guide/lezione/2986/sql-injections/

[panduz]

se la tua frase con apice è contenuta nella variabile $frase devi fare:


$frase = str_replace("'","\\'",$frase);

[nevarim]

innanzitutto grazie per la velocità di risposta

purtroppo il problema che ho è in una funzione di mysql solo che non trovo nel forum la sezione che riguardava solo quello

non riguarda php perchè non lo usa è in una query che un gioco manda a un database

se ho cannato sezione ditemelo che vado in quella corretta

scusate ancora e grazie

[filippo.toso]

Come fa il sito a mandarla al server?
Che gioco la manda a un database?
Come fa a mandarla al database?

Anche inserendo il REPLACE nel codice MySQL, non funzionerà comunque perchè lo statement SQL sarà comunque sbagliato.

[nevarim]

il gioco è neverwinter night 2
uan dll lo connette a un server mysql che hosta direttamente nella stessa macchina che ha su mysql 5
c sharp analizza direttaemtne la stringa che fa un'azione che nella fattispecie è "elementare dell'acqua" e spedisce direttaemnte la stringa che costruisco a manina io che è

string sMessaggio = sName + " è stato ucciso da " + sKiller + " in " + sArea;
string sSql="INSERT INTO tdn_last_player_died (last_player_died_text) VALUES ('" + sMessaggio + "')";
SQLExecDirect(sSql);


per quello vi dico che l'istruzione mandata è cannata

verrà fuori

"INSERT INTO tdn_last_player_died (last_player_died_text) VALUES ('pippo è stato ucciso da elementare dell'acqua in area1')";

[filippo.toso]

Devi modificare il codice C# per applicare correttamente gli escape alla stringa in input prima di utilizzarla nella query SQL.