mysql_real_escape_string in mysql_query?

[Truncate]

Hallo,

kann man das so ausführen oder ist das falsch/unsauber?

mysql_query("

UPDATE

tabelle

SET

author='".mysql_real_escape_string(html_entity_decode($author))."'

WHERE

asin='".mysql_real_escape_string(utf8_decode($book->Asin))."'

");

[TobiaZ]

kann man so machen.

zum debuggen ist das natürlich denkbar schlecht. da macht es mehr sinn die query zunächst als variable zu definieren.

[zerni]

ich mach das eigentlich meist so( ja ist das Beispiel von php.net ):

    function mysql_quote($value){

        if (get_magic_quotes_gpc()) {

            $value = stripslashes($value);

        }

        if (!is_numeric($value)) {

            $value = "'" . mysql_real_escape_string($value) . "'";

        }

        return $value;

     }

für Arrays:

     function mysql_array_quote($value){
        foreach($value as $k => $v){
          if (get_magic_quotes_gpc()) {

              $newValue[$k] = stripslashes($v);

          }

          if (!is_numeric($v)) {

              $newValue[$k] = "'" . mysql_real_escape_string($v) . "'";

          }

        }
        return $newValue;

     }