Отправка фигурных скобок через PHP на mySQL

Всякий раз, когда у вас возникают проблемы с вводом некоторых символов в базу данных, это сильный намек на то, что код вашей базы данных небезопасен и уязвим для внедрения SQL. Вы должны сделать шаг назад и посмотреть немного шире, думая: «Что такое все из возможных символов, которые не экранированы должным образом? «К счастью, вы не должны знать, на самом деле. Вам просто нужно использовать встроенные функции escape.

Идеальным решением является использование заполнителей. Синтаксис зависит от того, какой API базы данных вы используете (mysqli или PDO; устаревший mysql их не поддерживает). Существует много отличных ресурсов о том, как использовать заполнители; это первый результат, который я вытащил из Google, и это выглядит мне правильно.

Несколько менее идеальным решением является использование real_escape_string функция для вашей базы данных API. Пример для любого mysqli или же mysql:

// Using heredoc syntax, you can clean up your queries like so.
$sql_template = <<<SQL
SELECT
PC.id AS cId,
P.id AS pId
FROM PAGE_CATALOG P
LEFT JOIN PAGE_CATALOG_CONFIG PC ON (PC.id = P.cId)
WHERE PD1.fieldValue = '%s'
AND P.productCode REGEXP '%s'
AND PC.id = '1'
AND P.enabled = '1'
GROUP BY P.id
ORDER BY P.productVolgorde ASC
LIMIT 0, 10
SQL;

// For mysqli:
// $mysqli = new mysqli(...)
$sql = sprintf(
$sql_template,
$mysqli->real_escape_string('{' . $_SESSION['carId'] . '}-{' . $_SESSION['carModelId'] . '}'),
$mysqli->real_escape_string($MAL_TYPE)
);
$result = $mysqli->query($sql);
// For mysql:
$sql = sprintf(
$sql_template,
mysql_real_escape_string('{' . $_SESSION['carId'] . '}-{' . $_SESSION['carModelId'] . '}'),
mysql_real_escape_string($MAL_TYPE)
);
$result = mysql_query($sql);