magic_quotes_gpc() 的解药？

Question

我见过很多这样的 PHP 片段：

function DB_Quote($string)
{
    if (get_magic_quotes_gpc() == true)
    {
        $string = stripslashes($string);
    }

    return mysql_real_escape_string($string);
}

如果我调用 DB_Quote("the (\\) character is Cool"); 会发生什么？ （感谢 jspcal！）

难道我们不应该只在 get_magic_quotes_gpc() == true 并且值源自 时才去掉斜杠吗$_GET、$_POST 或 $_COOKIE 超全局变量？

Answer 1

第一步是完全关闭魔术引号，并在其打开时发出大量不可忽略的警告。

如果这对您来说不是一个选择，那么在我看来，最好的方法就是始终删除所有魔术引号。

// in an include used on every page load:
if (get_magic_quotes_gpc()) {
    foreach (array('_GET', '_POST', '_COOKIE', '_REQUEST') as $src) {
        foreach ($src as $key => $val) {
            $src[$key] = stripslashes($val);
        }
    }
}

虽然性能受到了一些影响，但从那时起，您在处理变量时会更加轻松。

Answer 2

是的，我也见过几十个这样的 PHP 片段。有点难过。

魔术引号是一个输入问题。如果您需要您的应用程序使用古老的错误 magic_quotes_gpc 在服务器上运行，则必须在输入阶段通过迭代 GET/POST/COOKIES 数组并删除斜杠来修复它。简单的替代方法是检测魔术引号选项，并在设置时因“你的服务器很糟糕”错误而死亡。

mysql_real_escape_string 是一个输出问题。如果您不使用参数化查询（您绝对应该考虑），它需要在脚本外、内容发送到数据库时运行。

这是程序中两个独立的、不相关的阶段。您不能将它们放在同一个函数中，尽管尝试将所有字符串处理封装到一个盒子中可能很诱人。

难道我们不应该只在 [...] 值源自 $_GET、$_POST 或 $_COOKIE 超全局变量时才去除斜杠吗？

是的，完全正确。这就是为什么您引用的片段确实有害。由于跟踪字符串的来源是不切实际的（特别是当您可能组合来自不同来源的字符串时，其中一个被斜杠，另一个没有），因此您无法在一个函数中完成此操作。它必须是在适当的时间调用的两个单独的字符串处理函数。

Answer 3

是的，正如 dav 所说，直到脚本仅在表单输入上使用 stripslashes...

如果您使用字符串“O'Reilly”调用 stripslashes，则该字符串将不会更改。如果您使用如下字符串调用 stripslashes：“反斜杠 (\) 字符很酷”，结果将用 ) 替换转义序列 \)。因此，在所有数据库值上使用该函数可能会巧妙地破坏事物，但可能不会被注意到。

与许多应用程序一样，您也可以不支持魔术引号模式。检查它并在打开时打印错误。多年来它一直默认关闭，不建议这样做。

Answer 4

在对 $_GET、$_POST 或 $_COOKIE 执行其他操作之前，您可以尝试对它们执行以下操作：

<?php
if (get_magic_quotes_gpc ())
{
    $_POST = array_map ('stripslashes', $_POST);
}
?>

注意，只有当您的输入数组是“平面”（不包含子数组）时，这才有效。如果您期望输入中有子数组，那么您需要编写自己的回调来处理它。类似的东西

<?php
function slashField ($input)
{
    if (is_array ($input))
    {
        foreach ($input as $key => $row)
        {
            $input [$key]   = slashField ($row);
        }
    }
    else
    {
        $input  = stripslashes ($input);
    }
    return ($input);
}

if (get_magic_quotes_gpc ())
{
    $_POST = array_map ('slashfield', $_POST);
}
?>

Answer 5

数字 6 是正确的想法，但不起作用，因为直到 PHP 5.4 $$src[$key] 在 $src[$key] 上使用变量变量语法，它被解释为 $src[0]，创建一个变量 $_ ，它是没用的。只需使用 & （引用运算符）在 $val 和 $val = stripslashes($val) 上。另外，从 PHP 5.4 开始，您可能会收到错误，因为 PHP 不会将 _ 强制转换为 0