当用户在我的网站上搜索时,我会获取get请求并对其进行 mysql查询.我的原始@L_304_5@看起来像这样：$q = $_GET [‘q’];.

现在urldecode正在为我添加斜杠,但我决定尝试使用santize字符串过滤器过滤器.

当我使用$q = urldecode($_ GET [‘q’]);时,这是我的sql：

SELECT * From ITem WHERE title LIKE '%you\'re%' OR description LIKE '%you\'re%' ORDER BY date DESC

当我使用时,这是我的sql：q = filter_VAR(urldecode($_ GET [‘q’]),FILTER_SANITIZE_STRING);

SELECT * From item WHERE title LIKE '%you\'re%' OR description LIKE '%you\'re%' ORDER BY date DESC

sql是完全一样的,但我得到不同的结果,我不知道为什么？只是使用urldecode从数据库返回正确的结果,但filter_var什么都不返回(即使sql是相同的).

我想我的问题是,清理和搜索查询字符串的最佳方法是什么？

$q = urldecode($_GET['q']);
$sql = "SELECT * FROM item WHERE title LIKE '%{$q}%'"

// later
echo "These items match '$q'";

$sql = "SELECT * FROM item WHERE title LIKE '%".MysqL_real_escaPE_string($_GET['q'])."%'"

// later
echo "These items match '".htMLspecialchars($_GET['q']).'";