MySQL5とphp5.2.2でのｼﾝｸﾞﾙｸｵｰﾃｰｼｮﾝの扱いについての質問です｡英文では結構な頻度でｼﾝｸﾞﾙｸｵｰﾃｰｼｮﾝが出てきます｡しかし､『SQLｲﾝｼﾞｪｸｼｮﾝ…

MySQL5とphp5.2.2でのｼﾝｸﾞﾙｸｵｰﾃｰｼｮﾝの扱いについての質問です｡
英文では結構な頻度でｼﾝｸﾞﾙｸｵｰﾃｰｼｮﾝが出てきます｡
しかし､『SQLｲﾝｼﾞｪｸｼｮﾝを考えれば､mysql_real_escape_stringなどでｴｽｹｰﾌﾟすることが望ましい｡』とあります｡
これはWHERE句に関しての話でしょうか？それとも格納するﾃﾞｰﾀは全てｴｽｹｰﾌﾟして､表示するときに元に戻す方法があるのでしょうか？

ｾｷｭﾘﾃｨに関してﾈｯﾄを読み漁りながら対策を進めていますが､上記のことがｲﾏｲﾁ解らずにいます｡
関係ないかもしれませんが､php文字ｺｰﾄﾞはutf-8､MySQL文字ｺｰﾄﾞutf-8､pcﾌﾞﾗｳｻﾞ表示文字ｺｰﾄﾞutf-8､携帯ﾌﾞﾗｳｻﾞ表示ｺｰﾄﾞshift_jisです｡
どなたかｱﾄﾞﾊﾞｲｽをお願いします｡

まず正常ｹｰｽの場合ですが､WHERE句ではｼﾝｸﾞﾙｸｫｰﾃｰｼｮﾝをｴｽｹｰﾌﾟしないと文字列として認識しません｡
MySQLではｼﾝｸﾞﾙｸｫｰﾃｰｼｮﾝを二重に '' とすればｴｽｹｰﾌﾟできますが､RDBMSによって違いがあるので､定石としてはRDBMSが用意するｴｽｹｰﾌﾟ関数(PHP＋MySQLの場合はmysql_real_escape_string)を利用します｡

次にSQLｲﾝｼﾞｪｸｼｮﾝのｹｰｽですが､ｼﾝｸﾞﾙｸｫｰﾃｰｼｮﾝによるｲﾝｼﾞｪｸｼｮﾝで有名なｹｰｽは次のようなSQL文です｡

SELECT * FROM table WHERE data1='{$key}1' and data2='{$key2}';

ここで

$key1 = "";
$key2 = "' or 'a'='a'; ";

を入力されると､

SELECT * FROM table WHERE data1='' and data2='' or 'a'='a'; '

となり､全ﾚｺｰﾄﾞを抽出されてしまいます｡

以上2点から､WHERE句の変数にｼﾝｸﾞﾙｸｫｰﾃｰｼｮﾝを含むと含まざるとに関わらず､mysql_real_escape_string関数でｴｽｹｰﾌﾟするのが定石となっています｡

なお､これ以外にも様々なSQLｲﾝｼﾞｪｸｼｮﾝのｹｰｽが考えられます｡
mysql_real_escape_string関数を通す前にﾕｰｻﾞｰが入力した値をﾁｪｯｸし､検索ｷｰとして有り得ない値であればｴﾗｰを返すようにすべきです｡ﾕｰｻﾞｰが入力した値をそのまま検索ｷｰとして使ってはいけません｡

＞表示するときに元に戻す方法があるのでしょうか？

｢表示するとき｣とはどういう意味でしょうか？
お知らせください｡