mysqlにおけるvarchar型カラムへのシングルクオートを含む文のINSERTについて

Question

mysqlを勉強中のものです．（正規表現についても初心者です）
BOTで文字列（文章）を収集しながらそれをmysqlに格納しようとしていて躓いています．そこでPHPでシングルクオートを含む文についてエスケープ文字に変換することを考えています．
そこでプログラムを考えていく上で以下の様な試行をしていた所理解が止まってしまったのでこの度質問させていただきました．

create table `strtest` (
`id` int auto_increment primary key,
`str` varchar(64)
);

を作成して

INSERT INTO strtest (`str`) VALUES ('\''); #1つめ
INSERT INTO strtest (`str`) VALUES (''''); #2つめ

を行うとstrtest tableのstrカラムにはどちらにも「'（シングルクオート）」
が格納されます．1つめのINSERT文はエスケープ文字を使っているので「'」が格納されるのはわかりますが，2つめのINSERT文が「'」になるのがわかりません．

また文字列をmysqlに格納する上でエスケープ文字にしなくてはならないモノがありましたら教えていただければと思います．（mysqlはシングルクオートで囲むことで文字列として扱えることから，気を付けるべき記号はシングルクオートのみだと推測しています）

ご指導のほどよろしくお願いいたします．

Answer 1

2つめのINSERT文が「'」になるのがわかりません．

シングルクォートやダブルクォートを2つ連続で書くとエスケープされるのは仕様です。

また文字列をmysqlに格納する上でエスケープ文字にしなくてはならないモノ

¥ % _ この辺りのSQLメタ文字など

参考ページ

Comments

[marimo.]

回答有り難うございます．
¥ % _らは文字列としてPHP上で文字列としてシングルクオートで囲っているため今現在問題は出ていません．ですので「気を付けるべき記号はシングルクオートのみだと推測」と書かせていただきました．

Answer 2

自分でエスケープ処理をしないで、プリペアードステートメントを使った方がいいですよ。
http://php.net/manual/ja/mysqli-stmt.bind-param.php

それでも、エスケープしたい場合、これを使いましょう。
http://php.net/manual/ja/mysqli.real-escape-string.php

Comments

[marimo.]

気になったので質問させていただきたく思います．
mysqli_stmt_bind_paramを用いてプリペアドステートメントのパラメータに変数をバインドすることでエスケープ処理をする必要がなくなる，ということなのでしょうか？

あとmysqli_real_escape_string関数の紹介ありがとうございます．このような関数もあるのですね…

[shi_ue]

mysqli_stmt_bind_paramを使えば、エスケープ処理は必要ありません。

[marimo.]

なるほど．理解致しました．
ありがとうございます．

Answer 3

SQLではシングルクオートのエスケープにシングルクオートを用いることができます。
リンク内容

また、バックスラッシュでもエスケープ出来ます。

つまり、お試しになられたのは同じ結果になります。

また文字列をmysqlに格納する上でエスケープ文字にしなくてはならないモノがありましたら教えていただければと思います

mysqlに限らず、エスケープを用いる必要があるのは、そのリテラルを包含している文字に依存します。

今回はリテラルをシングルクオート ' で囲って ''' としているのでシングルクオートをエスケープする必要がありましたが、例えばリテラルがダブルクオートで囲えるとしたら "'"のように、エスケープを行う必要は無いことになります。

Comments

[marimo.]

「SQLではシングルクオートのエスケープにシングルクオートを用いることができます。」
なるほど…調べ方が足りてなかったようですね…（反省）
教えてくださりありがとうございます．