PHP magic_quotes

大多的PHP程序，都有这样的逻辑：

如果发现php.ini配置为不给GPC变量自动添加转义斜线，则PHP自动为GPC添加转义斜线

但是事实上，这是错误的，因为它改变了GPC变量原来的值．

有这个遗留习惯的原因是PHP程序使用往往配合mysql, 而mysql对特殊字符的转义，采取的是添加转义斜线，但是其它数据如mssql,oci呢，不一定是这样的．

如果使用其它类型数据库，如mssql,oci,sybase　那么，给GPC添加转义斜线，更是个错误

进一步，如果GPC数据不需要存入数据库，而保存到文件系统，或转发给其它程序呢？更是很严重的错误逻辑．

所以，正确的做法是：
1.PHP程序入口去掉转义斜线（若php.ini配置为自动添加转义斜线）
2.在写入mysql时，使用mysql_real_escape_string而不是addcslashes来转义变量
因为前者比后者更为安全(字符集相关的)

db类中已考虑到这个问题，详情参阅db_mysql.class.php,搜寻mysql_real_escape_string

目前有以下案例：
积分商城的php.ini配置为自动添加转义斜线，用户提交的数据写入cookie时，需要及时去掉斜线
discuz 6.0的论坛，特殊用户名中的＂頫＂经过addcslashes处理后，竟然变成＂頫/＂,后面多了一个斜线，这是discuz 6的一个bug．

那么，综述一下：
1.针对系统管理员，应该配置php.ini
magic_quotes_gpc=Off
magic_quotes_runtime=Off
magic_quotes_sybase=Off

针对php开发人员，更准确的逻辑：

1.检查php环境是否配置为自动添加转义斜线，若是，应该调用stripslashes去掉$_REQUEST, $_GET,$_POST,$_COOKIE的转义斜线

2.查询/写入/修改数据至mysql时，再使用mysql_real_escape_string转义之

转载于:https://www.cnblogs.com/chengJAVA/p/4331629.html

PHP magic_quotes_gpc相关推荐

魔法引用函数magic_quotes_gpc和magic_quotes_runtime的区别和用法
PHP提供两个方便我们引用数据的魔法引用函数magic_quotes_gpc和magic_quotes_runtime, 这两个函数如果在php.ini设置为ON的时候,就会为我们引用的数据碰到单引号 ...
php中magic_quotes_gpc对unserialize的影响
昨天朋友让我帮他解决下他网站的购物车程序的问题,程序用的是PHPCMS,换空间前是好的(刚换的空间),具体问题是提示成功加入购物车后跳转到购物车页面,购物车里为空. 我看了下代码,大致的原理就是将产品 ...
php5.3中的safe_mod与magic_quotes_gpc
2019独角兽企业重金招聘Python工程师标准>>> 去官方看了下,用红色的block特别注明了,php5.3已经不推荐使用这个东东了,在 PHP6 中已经将其废弃: magic_ ...
magic_quotes_gpc和magic_quotes_runtime的区别和用法详解
当你的数据中有一些 " ' 这样的字符要写入到数据库里面,又想不被过滤掉的时候,它就很有用,会在这些字符前自动加上,如中国地大物博"哈哈" 中国\地大物博&q ...
PHP中 magic_quotes_gpc 和 magic_quotes_runtime 区别及其反斜线转义问题
php中关于反斜线转义: php中数据的魔法引用函数 magic_quotes_gpc 或 magic_quotes_runtime 设置为on时,当数据遇到单引号' 和双引号&quo ...
magic_quotes_gpc与magic_quotes_runtime区别
magic_quotes_runtime:针对数据库,开启时对添加入数据库的特殊字符在前面自动添加"\". magic_quotes_gpc:针对通过get/post/cookie ...
magic_quotes_gpc合magic_quotes_runtime的区别！
PHP提供两个方便我们引用数据的魔法引用函数magic_quotes_gpc和 magic_quotes_runtime,这两个函数如果在php.ini设置为ON的时候,就会为我们引用的数据碰到单引号 ...
php.ini中Magic_Quotes_Gpc开关设置
如果你网站空间的php.ini文件里的magic_quotes_gpc设成了off,那么PHP就不会在敏感字符前加上反斜杠(\\),由于表单提交的内容可能含有敏感字符,如单引号('),就导致了SQL ...
PHP中magic_quotes_gpc和magic_quotes_runtime的区别、作用和用法
这两天遇到一个奇怪的问题,用CKEditor编辑的内容在本地测试服务器能保存,在正式服务器不能保存,程序代码是一模一样的,数据库也是一样的,那应该就是PHP设置问题.那是哪个设置不一样呢?搜索发现,原 ...

PHP magic_quotes_gpc

PHP magic_quotes_gpc相关推荐

最新文章

热门文章