PDO::quote

(PHP 5 >= 5.1.0, PECL pdo >= 0.2.1)

PDO::quote Entrecomilla una cadena de caracteres para usarla en una consulta

Descripción

public string PDO::quote ( string $string [, int $parameter_type = PDO::PARAM_STR ] )

PDO::quote() entrecomilla el string de entrada (si fuera necesario) y escapa los caracteres especiales contenidos en dicho string, usando un estilo de entrecomillado apropiado para el controlador subyacente.

Si se usa esta función para construir sentencias SQL, se recomienda encarecidamente usar PDO::prepare() para preparar sentencias SQL con los parámetros vinculados en vez de usar PDO::quote() para interpolar entradas del usuario en una consulta SQL. Las sentencias preparadas con parámetros vinculados no son sólo más portables, más convenientes, e inmunes a inyecciones SQL, sino que son mucho más rápidas de ejecutar que las consultas interpoladas, ya que tanto el lado del servidor como el del cliente pueden almacenar en caché una forma compilada de la consulta.

No todos los controladores de PDO implementan este método (como ejemplo notable, PDO_ODBC). En su lugar, se ha de considerar el uso de sentencias preparadas.

Precaución

Seguridad: el conjunto de caracteres predeterminado

El conjunto de caracteres debe establecerse o bien al nivel del servidor, o dentro de la misma conexión a la base de datos (dependiendo del controlador) para que afecte a PDO::quote(). Véase la documentación específica del controlador para más información.

Parámetros

string

La cadena de caracteres a entrecomillar.

parameter_type

Proporciona una sugerencia del tipo de datos para los controladores que tengan un estilo de entrecomillado alternativo.

Valores devueltos

Devuelve un string entrecomillado teóricamente seguro para pasarlo a una sentencia SQL. Devuelve FALSE si el controlador no soporta el entrecomillado en esta forma.

Ejemplos

Ejemplo #1 Entrecomillar una cadena de caracteres normal

<?php
$conexión 
= new PDO('sqlite:/home/lynn/music.sql3');

/* Cadena simple */
$cadena 'Agradable';
print 
"Cadena sin entrecomillar: $cadena\n";
print 
"Cadena entrecomillada: " $conexión->quote($cadena) . "\n";
?>

El resultado del ejemplo sería:

Cadena sin entrecomillar: Agradable
Cadena entrecomillada: 'Agradable'

Ejemplo #2 Entrecomillar una cadena peligrosa

<?php
$conexión 
= new PDO('sqlite:/home/lynn/music.sql3');

/* Cadena peligrosa */
$cadena 'Cadena \' desagradable';
print 
"Cadena sin entrecomillar: $cadena\n";
print 
"Cadena entrecomillada:" $conexión->quote($cadena) . "\n";
?>

El resultado del ejemplo sería:

Cadena sin entrecomillar: Cadena ' desagradable
Cadena entrecomillada: 'Cadena '' desagradable'

Ejemplo #3 Entrecomillar una cadena compleja

<?php
$conexión 
= new PDO('sqlite:/home/lynn/music.sql3');

/* Cadena compleja */
$cadena "Ca'de''na \"co'\"mpleja";
print 
"Cadena sin entrecomillar: $cadena\n";
print 
"Cadena entrecomillada: " $conexión->quote($cadena) . "\n";
?>

El resultado del ejemplo sería:

Cadena sin entrecomillar: Ca'de''na "co'"mpleja
Cadena entrecomillada: 'Ca''de''''na "co''"mpleja'

Ver también

add a note add a note

User Contributed Notes 4 notes

up
9
mirv
1 year ago
When converting from the old mysql_ functions to PDO, note that the quote function isn't exactly the same as the old mysql_real_escape_string function. It escapes, but also adds quotes; hence the name I guess :-)

After I replaced mysql_real_escape_string with $pdo->quote, it took me a bit to figure out why my strings were turning up in results with quotes around them. I felt like a fool when I realized all I needed to do was change ...\"".$pdo->quote($foo)."\"... to ...".$pdo->quote($foo)."...
up
5
col dot shrapnel at gmail dot com
1 year ago
One have to understand that string formatting has nothing to do with identifiers.
And thus string formatting should NEVER ever be used to format an identifier ( table of field name).
To quote an identifier, you have to format it as identifier, not as string.
To do so you have to

- Enclose identifier in backticks.
- Escape backticks inside by doubling them.

So, the code would be:
<?php
function quoteIdent($field) {
    return
"`".str_replace("`","``",$field)."`";
}
?>
this will make your identifier properly formatted and thus invulnerable to injection.

However, there is another possible attack vector - using dynamical identifiers in the query may give an outsider control over fields the aren't allowed to:
Say, a field user_role in the users table and a dynamically built INSERT query based on a $_POST array may allow a privilege escalation with easily forged $_POST array.
Or a select query which let a user to choose fields to display may reveal some sensitive information to attacker.

To prevent this kind of attack yet keep queries dynamic, one ought to use WHITELISTING approach.

Every dynamical identifier have to be checked against a hardcoded whitelist like this:
<?php
$allowed 
= array("name","price","qty");
$key = array_search($_GET['field'], $allowed));
if (
$key == false) {
    throw new
Exception('Wrong field name');
}
$field = $db->quoteIdent($allowed[$key]);
$query = "SELECT $field FROM t"; //value is safe
?>
(Personally I wouldn't use a query like this, but that's just an example of using a dynamical identifier in the query).

And similar approach have to be used when filtering dynamical arrays for insert and update:

<?php
function filterArray($input,$allowed)
{
    foreach(
array_keys($input) as $key )
    {
        if ( !
in_array($key,$allowed) )
        {
             unset(
$input[$key]);
        }
    }
    return
$input;
}
//used like this
$allowed = array('title','url','body','rating','term','type');
$data = $db->filterArray($_POST,$allowed);
// $data now contains allowed fields only
// and can be used to create INSERT or UPDATE query dynamically
?>
up
0
php at deobald dot org
6 years ago
Note that this function just does what the documentation says: It escapes special characters in strings.

It does NOT - however - detect a "NULL" value. If the value you try to quote is "NULL" it will return the same value as when you process an empty string (-> ''), not the text "NULL".
up
-1
milosdj at gmail dot com
10 months ago
This function also converts new lines to \r\n
To Top