对于magic_quotes_gpc的一点认识

字号: 小中大 | 打印发布: 2010-2-07 15:47 作者: 剑心通明来源: 互联网查看: 39次

对一般人来说看下前两段就可以了

Magic Quotes

CODE:

Magic Quotes is a process that automagically escapes incoming data to the PHP script. Its preferred to code with magic quotes off and to instead escape the data at runtime, as needed. 
MJ(C]3y+HQ1

What are Magic Quotes
(w4O5io[X1

CODE:

When on, all  (single-quote), " (double quote), \ (backslash) and NULL characters are escaped with a backslash automatically. This is identical to what addslashes() does.    BSD爱好者乐园H.bV(S~	|w
  BSD爱好者乐园EL.tbO%b:M%av
There are three magic quote directives: ;
-ZJ(u
ry'xd1E7lhsO1

magic_quotes_gpc

CODE:

Affects HTTP Request data (GET, POST, and COOKIE). Cannot be set at runtime, and defaults to on in PHP. 
A`G`'ae`q)Fk1

magic_quotes_runtime

CODE:

If enabled, most functions that return data from an external source, including databases and text files, will have quotes escaped with a backslash. Can be set at runtime, and defaults to off in PHP. BSD爱好者乐园q4S`4ss~B_-{z

magic_quotes_sybase

CODE:

If enabled, a single-quote is escaped with a single-quote instead of a backslash. If on, it completely overrides magic_quotes_gpc. Having both directives enabled means only single quotes are escaped as ''. Double quotes, backslashes and NULLs will remain untouched and unescaped. BSD爱好者乐园Cb!F6H-A,PBT

Why use Magic Quotes

１　Useful for beginners

Magic quotes are implemented in PHP to help code written by beginners from being dangerous. Although SQL Injection is still possible with magic quotes on, the risk is reduced.

２Convenience

For inserting data into a database, magic quotes essentially runs addslashes() on all Get, Post, and Cookie data, and does so automagically.

Why not to use Magic Quotes

１　Portability

CODE:

Assuming it to be on, or off, affects portability. Use get_magic_quotes_gpc() to check for this, and code accordingly. 
_ O;^+rI3a/x]3u:Ig1

２　Performance

CODE:

Because not every piece of escaped data is inserted into a database, there is a performance loss for escaping all this data. Simply calling on the escaping functions (like addslashes()) at runtime is more efficient.     
+}gs+r3L]O|1   
9ee'nwk1Although php.ini-dist enables these directives by default, php.ini-recommended disables it. This recommendation is mainly due to performance reasons. 
dV7_9pM1

３　Inconvenience

CODE:

Because not all data needs escaping, it's often annoying to see escaped data where it shouldn't be. For example, emailing from a form, and seeing a bunch of  within the email. To fix, this may require excessive use of stripslashes(). BSD爱好者乐园Oc*h`
uLj

这些英文实在是需要像我这类人有足够的耐心啊（不是说我有耐心，而是我英语烂），刚才也说了，对于一般人只看下前两段就可以了，特别是我用红色标出来的字！！！

另外，特别注意的是，魔术引用发生作用是在传递$_GET,$_POST,$_COOKIE时

下面是案例

CODE:

1. BSD爱好者乐园a4Fy(|nS3v/K"Q{7H
条件： magic_quotes_gpc=off 
V)Z+]B
}sI1写入数据库的字符串未经过任何过滤处理。从数据库读出的字符串也未作任何处理。 BSD爱好者乐园rIHY-o@&hx

'WX3E.N;O	ghVF6Tq8A1数据： &#8194;$data="snow''''sun" ; (snow和sun之间是四个连续的单引号). BSD爱好者乐园 Ol0{2}S+g+h}(Z%L

%^%OCXo4I5G1操作： 将字符串:"snow''''sun" 写入数据库， BSD爱好者乐园0{.OS3F3eVdH

p{}%`0U3r8Y.l'C1结果： 出现sql语句错误，mysql不能顺利完成sql语句，写入数据库失败。 
#u1Cysd
z.F,Ho$E1
{k
R6pum8nn1数据库保存格式：无数据。 
jba+H(j}1BSD爱好者乐园J({-W(X.}
输出数据格式：无数据。 BSD爱好者乐园9L"@V0~o2ax
BSD爱好者乐园sr/{#]3C&p8MrT
说明： 对于未经处理的单引号在写入数据库时会使sql语句发生错误。 
lZi:w6\~/^/x1

CODE:

2. BSD爱好者乐园r(b"kC F!U,T
@
条件： magic_quotes_gpc=off 
uK2I(Do,x2\:~4Q1写入数据库的字符串经过函数addlashes()处理。从数据库读出的字符串未作任何处理。 BSD爱好者乐园PGj)Kt$^-fQ&H
BSD爱好者乐园?JS7S){{/S6l0nC-\
数据： &#8194;$data="snow''''sun" ; (snow和sun之间是四个连续的单引号). 
tQoKt.A0}1
%h3N7G~Q7v1操作： 将字符串:"snow''''sun" 写入数据库， BSD爱好者乐园GD*Y`5f6_d

vPBn.Ae4}1结果： sql语句顺利执行，数据成功写入数据库 
2XfM@_v+e9mKn1
,Q'\#W
haP
Q&y1数据库保存格式：snow''''sun (和输入一样) 
hR"E-NPYl1
,q8N
Zn:W+}1输出数据格式：snow''''sun (和输入一样) BSD爱好者乐园Ji+x0geY

Tr!iPtF|^1说明： addslashes()函数将单引号转换为'的转义字符使sql语句成功执行， 
1EJ4r8sm+LI]]1但\'并未作为数据存入数据库，数据库保存的是snow'''sun 而并不是我们想象的snowsun 
)Zz.w.q%q#do3x1

CODE:

3. 
L)Wie(ZMZK!o1条件： magic_quotes_gpc=on 
xFJ9Cur1写入数据库的字符串未经过任何处理。从数据库读出的字符串未作任何处理。 BSD爱好者乐园5i0@t.BZ'_3N
BSD爱好者乐园S7h!f9jm_
数据： &#8194;$data="snow''''sun" ; (snow和sun之间是四个连续的单引号). 
PA#z#n%w,y_'E1
)tD#v!gqiP
^,B1操作： 将字符串:"snow''''sun" 写入数据库， BSD爱好者乐园+BU/O8gP'Z#^$E

J}(N+l T6xz1结果： sql语句顺利执行，数据成功写入数据库 
G4w	u_z1j1
3f
KqHn7s1数据库保存格式：snow''''sun (和输入一样) BSD爱好者乐园8h-ig2mU

3nky
`p$aR1输出数据格式：snow''''sun (和输入一样) BSD爱好者乐园N/`~	T7\%yJ
BSD爱好者乐园4hQ*K2O"K-k
说明： magic_quotes_gpc=on 将单引号转换为'的转义字符使sql语句成功执行， 
x-q[C_Ik1但\'并未作为数据入数据库，数据库保存的是snow'''sun而并不是我们想象的snowsun。 
$r:qk
P+`1

CODE:

4. BSD爱好者乐园ZV(i
o;cxE
条件： magic_quotes_gpc=on BSD爱好者乐园5H%XB2u'J;|
写入数据库的字符串经过函数addlashes()处理。从数据库读出的字符串未作任何处理。 
u.X[%Y%s ]o6A1
,t*\-F~yh1数据： &#8194;$data="snow''''sun" ; (snow和sun之间是四个连续的单引号). BSD爱好者乐园2|Enp.z
BSD爱好者乐园!A%B-r{SN
操作： 将字符串:"snow''''sun" 写入数据库， BSD爱好者乐园S"w"jGn-u(k	z

$K:h6Y.v@M7a\#b1结果： sql语句顺利执行，数据成功写入数据库 
8g`v2Db1BSD爱好者乐园$L:L@"O.Sp Y&pO8f
数据库保存格式：snowsun (添加了转义字符) 
}'v$Z7Y?0iZ1
Ythd.t
@)U|1输出数据格式：snowsun (添加了转义字符) BSD爱好者乐园*J+Y*nu!CV"^

#EGF6M%t,ti1说明： magic_quotes_gpc=on 将单引号转换为的转义字符使sql语句成功执行， BSD爱好者乐园1Y
u,q*fI(D+Y4O_!y
addslashes又将即将写入数据库的单引号转换为,后者的转换被作为数据写入 BSD爱好者乐园m+lR]/`9v9um,Q
数据库，数据库保存的是snowsun 
"[6r*JlG:d
T1

总结如下：

1. 对于magic_quotes_gpc=on的情况，

我们可以不对输入和输出数据库的字符串数据作
addslashes()和stripslashes()的操作,数据也会正常显示。

如果此时你对输入的数据作了addslashes()处理，
那么在输出的时候就必须使用stripslashes()去掉多余的反斜杠。

2. 对于magic_quotes_gpc=off 的情况

必须使用addslashes()对输入数据进行处理，但并不需要使用stripslashes()格式化输出
因为addslashes()并未将反斜杠一起写入数据库，只是帮助mysql完成了sql语句的执行。

补充：

magic_quotes_gpc 作用范围是：ＷＥＢ客户服务端；作用时间：请求开始时，例如当脚本运行时．
magic_quotes_runtime 作用范围：从文件中读取的数据或执行exec()的结果或是从ＳＱＬ查询中得到的；作用时间：每次当脚本访问运行状态中产生的数据

[重要提醒]对本篇资料有疑问，请到论坛讨论，尽量使文章准确无误>>>
[版权声明]BSD爱好者乐园站内文章，如来源不是互联网，则均系原创或翻译之作，可随意转载，或以此为基础进行演译，但务必以链接形式注明原始出处和作者信息，否则属于侵权行为。另对本站转载他处文章，俱有说明，如有侵权请联系本人，本人将会在第一时间删除侵权文章。
TAG: magic quotes gpc

-5 -3 -1 - +1 +3 +5

评分：0

最新更新

月度热点

网络推荐

推荐给好友 上一篇 | 下一篇

对于magic_quotes_gpc的一点认识

我来说两句

最新更新

月度热点

网络推荐

推荐给好友 上一篇 | 下一篇

对于magic_quotes_gpc的一点认识

我来说两句

推荐给好友上一篇 | 下一篇