【讨论中】linux下用c语言操作mysql语句，这样做有没有安全隐患问题？

scybzdk

用mysql保存二进制文件，如图片，声音，视频......

我数据库用的是blob类型，用mysql_real_query函数进行插入.

请问在insert语句缓存区中，能否用snprintf把数据以%s的形式写入进去？

谢谢各位了！

ruochen

这类的文件在架构设计上一般是不建议入库保存的吧

scybzdk

回复 2# ruochen

其实不是针对像声音，视频这些二进制文件。

像图片、文本文件的压缩文件在进行写数据库的时候，可以通过%s的形式往mysql语句的缓冲区中写吗？


   

kongrenxin

不可以，二进制数据需要先用mysql_real_escape_string转换后，才能插入数据库。
因为二进制数据可能包含有'\0'字符，sprintf函数将会遇'\0'结束。

scybzdk

回复 4# kongrenxin

那样确实有问题，我现在换用MYSQL_BIND结构体方式存数据了

遇到了mysql_stmt_prepare返回错误的问题！

我是这样做的：
#define INSERT_QUERY "INSERT INTO http(id,time,phase) values(?,?,?)"

temp = mysql_stmt_prepare(stmt,INSERT_QUERY,inse) ; //返回0表示成功
if(temp)                       
{
        ret = MYSQL_STMT_PREPARE_FAILED;
        my_log(mtu,3," %d mysql_stmt_prepare:%d, %s",temp,mysql_stmt_errno(stmt),mysql_stmt_error(stmt));
        mysql_stmt_close(stmt);
        return ret;
}
我的日志中：1mysql_stmt_prepare:0,  
mysql_stmt_error(stmt)没有输出任何字符串,这是怎么了？