insertクエリで、値にシングルクオートがある場合

質問

insertクエリで、値にシングルクオートがある場合、
どのようにして解決すればよいのか、お教え願えますでしょうか。

サンプル：
$data = 'abcd'efg'hijk';
$query = "INSERT INTO テーブル名 ( フィールド名 ) VALUES( $data )";

回答No.3

ayucat · ベストアンサー

$data = "abcd'efg'hijk";
sqlエスケープ($data);
$query = "INSERT INTO テーブル名 ( フィールド名 ) VALUES( '$data' )";

#1さんの回答で既に答えになっていると思いますが、
SQLのライブラリを通して、prepared statement, bindを使ってやることで、
SQLインジェクションなどの問題にも併せて対応できるかと思います。

MySQLやPostgreSQLで異なる関数を使わなくてよくなり、
SQLサーバの種類の差異も吸収できるようになります。

参考URL：

http://www.ipa.go.jp/security/awareness/vendor/programming/a02_01.html

回答No.2

galluda

がると申します。
#1さんの通り'を二重にするほかに、大抵のDBでは￥によるクオートが有効になります。

このあたりはSQL-Injectionという脆弱性にまつわる話になるので、googleなどで是非詳しくお調べになってみてください。

回答No.1

みずの（@mizuno3）

クオートを二つにするとよろしいです。

//PostgreSQLなら
$data = pg_escape_string("abcd'efg'hijk");

//MySQLなら
$data = mysql_real_escape_string("abcd'efg'hijk");

こんな感じにするといいかと。