Форум MySQL

Зачем делают следующее: str_replace("'","'",$str);
не хватает mysql_escape_string() ?

Этот приём заимстовован из других языков программирования для других баз данных, где нет специальной функции в интерфейсе для экранирования спец-символов. Если имеется возможность - лучше использовать mysql_escape_string().

Ну тогда зачем у вас на форуме это делается если у вас и обрабатывается mysql_escape_string ?

>Ну тогда зачем у вас на форуме это делается если у вас и
>обрабатывается mysql_escape_string ?

Я тоже так делаю, что бы наверняка. Мало ли что, где может подглючить.

Всмысле для доп. безопасности?
Если чтото порглючит - скорее всего все остальное тоже проглючит.

Если всё время прицеливаться, чтобы наверняка, можно случайно застрелиться.

Уровень безопасности - это не та вещь, которую можно дожать силой. Если что-то где-то и подглючит, то именно там, где Вы свалили в кучу несколько приемов, вместо того, чтобы обойтись одним.

>Ну тогда зачем у вас на форуме это делается если у вас и
>обрабатывается mysql_escape_string ?
Исторически сложилось - сейчас чтобы убрать этот механизм нужно всю базу перековырять на предмет исправления обратных кавычек на одинарные.

Всю базу?
Все скрипты всмысле?

Тут раньше была тема как хаменить какуюто строку в 1500 файлах одновременно.

Скрипты поправить не долго, а вот с многомегабайтной базой придётся повозится... В любом случае это нужно будет делать.

UPDATE posts SET name = REPLACE(name, ''', '\'');

Частями нужно, так как потребуется перелопатить несколько десятков мегабай текстовых данных.

LIMIT есть
WHERE есть
поле, в котором разместить признак скорректированной записи, тоже найти можно.
Что Вы, ей-богу, как маленький....