C语言MySQL转义SQL语句函数：mysql_real_escape_string()详解

C语言中使用 mysql_real_escape_string() 函数可以转义SQL语句，以防止SQL注入攻击。该函数将输入字符串中的特殊字符进行转义，使其在SQL语句中被正确解析，避免恶意代码执行。

函数定义：

char *mysql_real_escape_string(MYSQL *mysql, char *to, const char *from, unsigned long length);

参数解释：

• mysql: 连接MySQL的句柄。
• to: 存放转义后的字符串的缓冲区。
• from: 原始字符串。
• length: 原始字符串的长度。

返回值： 转义后的字符串。

示例代码：

#include <mysql.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main() {
    MYSQL *conn;
    MYSQL_RES *res;
    MYSQL_ROW row;

    char *server = "localhost";
    char *user = "root";
    char *password = "password";
    char *database = "test";

    conn = mysql_init(NULL);

    if (!mysql_real_connect(conn, server, user, password, database, 0, NULL, 0)) {
        fprintf(stderr, "%s\n", mysql_error(conn));
        exit(1);
    }

    char *query = "SELECT * FROM users WHERE name = '";
    char *name = "John O'Connor";
    char *escaped_name = (char*)malloc(strlen(name) * 2 + 1);
    mysql_real_escape_string(conn, escaped_name, name, strlen(name));

    char *full_query = (char*)malloc(strlen(query) + strlen(escaped_name) + 2);
    sprintf(full_query, "%s%s'", query, escaped_name);

    if (mysql_query(conn, full_query)) {
        fprintf(stderr, "%s\n", mysql_error(conn));
        exit(1);
    }

    res = mysql_use_result(conn);

    while ((row = mysql_fetch_row(res)) != NULL) {
        printf("%s %s\n", row[0], row[1]);
    }

    mysql_free_result(res);
    mysql_close(conn);

    free(escaped_name);
    free(full_query);

    return 0;
}

代码解释：

1. 该示例代码首先建立了与MySQL数据库的连接。
2. 定义了SQL查询语句 query，并使用 mysql_real_escape_string() 函数对用户输入的 name 进行转义，得到 escaped_name。
3. 使用 sprintf() 函数将转义后的 escaped_name 拼接到 query 中，得到完整的查询语句 full_query。
4. 执行 mysql_query() 函数执行查询语句，并输出结果。

总结：

使用 mysql_real_escape_string() 函数可以有效地防止SQL注入攻击，确保数据库的安全性。在使用该函数时，需要注意：

1. 将转义后的字符串存储在新的缓冲区中，不要直接修改原始字符串。
2. 确保缓冲区的长度足够容纳转义后的字符串。
3. 在使用转义后的字符串时，需要将其拼接到完整的SQL语句中。

使用 mysql_real_escape_string() 函数，您可以确保您的应用程序能够安全地处理用户输入，并防止SQL注入攻击。