cakephpでのmysqli_real_escape_stringの使用

Question

mysql_real_escape_string($str) といった使用をしていたのですが、
mysql_real_escape_stringが新しいPHPでは使えなくなっているので、
mysqli_real_escape_stringに移行しようとしています。

mysqli_real_escape_stringは引数が増えていて、第一引数にdbコネクションを渡すようですが、cakephpで

従来
$db =& ConnectionManager::getDataSource($this->Competition->useDbConfig);
$sql_id = mysql_real_escape_string($id);

といったコーディングをしているので、2行目の部分を

$sql_id = mysqli_real_escape_string($db,$id);
と修正したのですが実行すると

Warning (2): mysqli_real_escape_string() expects parameter 1 to be mysqli, object given

というエラーになってしまいます。
どうも、期待した値を渡せてないようです。

どのように使用すればよいでしょう？

Answer 1

そもそもだが プリペアードステートメントで組み立てていけば自力でエスケープする必要がないですよ。

エスケープする必要があるのは文字列結合で変数をSQLに直接当てはめているからです。
昔はこれしかなかったようですが・・

あと 第一引数ですがDB接続情報なら何でもいいわけではありません。

また、CAKEPHP のクエリビルダを正常に利用すればエスケープも自動化してくれます。

Comments

[progman]

レスありがとうございます。

該当箇所が多いので、できるだけ修正内容はできれば簡単にしたいです。

[progman]

https://teratail.com/questions/110942
に結論を書きました。

Answer 2

mysql_real_escape_stringにしても
mysqli_real_escape_stringにしても
事前にconnectしないと使えないようになっています。

すでに別解にあるとおり、あとはCAKEPHPにまかせておけばいいでしょう

Comments

[progman]

レスありがとうございます。
コネクトに相当する動作が
ConnectionManager::getDataSource
ではないのでしょうか？

該当箇所が多いので、できるだけ修正内容はできれば簡単にしたいです。

[yambejp]

mysql_connect()で接続しなければ意味がないです

http://php.net/manual/ja/function.mysql-connect.php