我们都知道，我们应该使用准备好的语句或适当的替换/格式规则，以防止SQL注入在我们的应用。

然而，在字符文字的MySQL的列表考虑看看的时候，我注意到，它包括以下特点：

\0一个ASCII NUL（ 0x00 ）字符。
\'单引号（ ' ）字符。
\"双引号（ " ）字符。
\b甲退格字符。
\n的换行（换行）字符。
\r一个回车符。
\t制表符。
\Z ASCII 26（ 按Ctrl + Z）。 见注桌子下面。
\\反斜杠（ \ ）字符。
\%甲%字符。
\_一个_字符。

现在，虽然%和_字符需要，以防止不必要的通配符插入到LIKE语句注射逃跑了，而' （单引号）， \ （反斜线）和" （双引号）都需要进行转义为了防止任意的SQL注入 - ？可能具有这些其他字符转义的的直接导致SQL注入漏洞，否则不会现在没有人有这样的任何真实世界的例子一个漏洞？

假设我们正在建立我们的查询，如：

SELECT * FROM users WHERE username='$user'

是否有任何值$user ，其中只有不转义字符文字被\b （退格键）， \0 （NUL）， \n （换行）， \r （换行）， \t （制表符）或\Z （Ctrl + Z 键 ），允许注入任意SQL进入此查询？

Answer 1:

考虑到从下面线mysql_real_escape_string（）手册：

MySQL的只要求反斜杠和用于引用查询字符串转义引号字符。 mysql_real_escape_string（）引用了其他字符，以使它们更容易在日志文件中读取。

在MySQL SQL注入不应该有可能与这些特殊字符单独自己： \b \0 \n \r \t \Z 。

然而字符串文字手册指出以下但原因指定的（或不）不涉及SQL注入：

如果你想插入二进制数据到字符串列（如BLOB列），你应该代表了转义序列某些字符。反斜杠（“\”），并用于引用该字符串的引号字符必须进行转义。在某些客户端环境，它也可能是必要的逸出NUL或控制+ Z。在MySQL的客户端截断包含NULL字符，如果他们没能逃过引用的字符串，并控制+ Z，可以采取档案结尾在Windows上，如果没有逃脱。

此外，在一个简单的测试，而不管天气的上面列出的特殊字符被转义与否，MySQL的产生相同的结果。换句话说MySQL并没有连记：

$query_sql = "SELECT * FROM `user` WHERE user = '$user'";

上面的查询同样就职于非逃脱，逃脱上面列出的那些字符的版本为下面放：

$user = chr(8);     // Back Space
$user = chr(0);     // Null char
$user = chr(13);    // Carriage Return
$user = chr(9);     // Horizontal Tab
$user = chr(26);    // Substitute
$user = chr(92) .chr(8);    // Escaped Back Space
$user = chr(92) .chr(0);    // Escaped Null char
$user = chr(92) .chr(13);   // Escaped Carriage Return
$user = chr(92) .chr(9);    // Escaped Horizontal Tab
$user = chr(92) .chr(26);   // Escaped Substitute

测试表，并在简单的测试使用的数据：

-- Table Structure

CREATE TABLE IF NOT EXISTS `user` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `user` varchar(10) CHARACTER SET utf8 NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB  DEFAULT CHARSET=utf8;

-- Table Data

INSERT INTO `user` ( `user` ) VALUES
( char( '8' ) ),
( char( '0' ) ),
( char( '10' ) ),
( char( '13' ) ),
( char( '9' ) ),
( char( '26' ) );