使用 magic_quotes() 是否影响 mysql_real_escape_string() 的使用

Question

如果我打开magic_quotes并且使用mysql_real_escape_string，字符串会被双重转义吗？会引起问题吗？

我基于 get_magic_quotes() 函数假设是这样，但只是寻求确认。

（PS，提出这个问题比在我的办公室中测试它更容易，因为我们拥有所有的安全措施 - 我需要 10-15 时间来配置所有内容以获得可用的环境）

Answer 1

阅读 mysql_real_escape_string 的文档 （我希望这也不难）：

注意：如果启用magic_quotes_gpc，请首先应用stripslashes() 到数据。对已经转义的数据使用此函数将转义数据两次。

Answer 2

如果您转义从 get/post/cookie 输入获得的值，它将已经具有 addslashes() 应用于它，因此通过 mysql_real_escape_string() 传递它实际上将是双引号。

要剥离它们：

if (get_magic_quotes_gpc())
{
    $_GET = json_decode(stripslashes(json_encode($_GET, JSON_HEX_APOS)), true);
    $_POST = json_decode(stripslashes(json_encode($_POST, JSON_HEX_APOS)), true);
    $_COOKIE = json_decode(stripslashes(json_encode($_COOKIE, JSON_HEX_APOS)), true);
    $_REQUEST = json_decode(stripslashes(json_encode($_REQUEST, JSON_HEX_APOS)), true);
    ini_set('magic_quotes_gpc', 0);
}

这个问题还有一些其他选项用于剥离引号/处理可怕的 magic_quotes_gpc PHP“功能”。

Answer 3

当然，最简单的方法就是关闭 magic_quotes。
与通常的 PHP/Apache 配置一样，

php_flag magic_quotes_gpc 0

.htaccess 文件中的这一行将完成此操作。

但出于兼容性目的，也可以在某些配置文件中使用函数。

if ( get_magic_quotes_gpc( ) ) {
  $_GET = array_map_recursive('stripslashes', $_GET) ;
  $_POST = array_map_recursive('stripslashes', $_POST) ;
  $_COOKIE = array_map_recursive('stripslashes', $_COOKIE) ;
  $_REQUEST = array_map_recursive('stripslashes', $_REQUEST) ;
  if (isset($_SERVER['PHP_AUTH_USER'])) stripslashes($_SERVER['PHP_AUTH_USER']); 
  if (isset($_SERVER['PHP_AUTH_PW'])) stripslashes($_SERVER['PHP_AUTH_PW']);
}

最简单的之一

Answer 4

如果我打开了 magic_quotes 并且
我使用mysql_real_escape_string，会
字符串需要双重转义吗？

是的，它会，但你可以这样做：

if (get_magic_quotes_gpc())
{
  $escaped = stripslashes($your_vars);
}

注意：你可以禁用 PHP.ini 中的魔术引号或使用以下函数覆盖它：

// no more magic quotes
function get_magic_quotes_gpc()
{ 
  return false;
}