PHP 中get_magic_quotes_gpc()函数说明

最新推荐文章于 2024-09-06 17:38:27 发布

丿花落丨无痕ぃ

最新推荐文章于 2024-09-06 17:38:27 发布

阅读量573

点赞数

分类专栏： PHP 文章标签： php get_magic_quotes_gpc()

原文链接：https://blog.csdn.net/xiaoxinshuaiga/article/details/80208427

版权

PHP 专栏收录该内容

9 篇文章

订阅专栏

get_magic_quotes_gpc函数是一个用来判断是否为用户提供的数据增加斜线了，这个在php.ini配置文件中哦，本文将介绍一下get_magic_quotes_gpc()函数说明。

get_magic_quotes_gpc函数介绍

取得 PHP 环境变数 magic_quotes_gpc 的值，属于 PHP 系统功能。

语法: long get_magic_quotes_gpc(void);

返回值: 长整数

本函数取得 PHP 环境配置的变量 magic_quotes_gpc (GPC, Get/Post/Cookie) 值。返回 0 表示关闭本功能；返回 1 表示本功能打开。

当 magic_quotes_gpc 打开时，所有的 ‘ (单引号), ” (双引号), (反斜线) and 空字符会自动转为含有反斜线的溢出字符。

magic_quotes_gpc设置是否自动为GPC(get,post,cookie)传来的数据中的'”加上反斜线。可以用get_magic_quotes_gpc()检测系统设置。

如果没有打开这项设置，可以使用addslashes()函数添加，它的功能就是给数据库查询语句等的需要在某些字符前加上了反斜线。

这些字符是单引号（'）、双引号（”）、反斜线（）与 NUL（NULL 字符）。

默认情况下，PHP 指令 magic_quotes_gpc 为 on，它主要是对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。

不要对已经被 magic_quotes_gpc 转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。

例

利用 get_magic_quotes_gpc()预防数据库攻击的正确做法

代码如下


    
    
      
      
       
       
      
      
      
      
       
       
        
        <?php
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        function check_input($value)
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        {
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        // 去除斜杠
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        if (get_magic_quotes_gpc())
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        {
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $value = stripslashes($value);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        }
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        // 如果不是数字则加引号
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        if (!is_numeric($value))
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        {
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $value = “‘” . mysql_real_escape_string($value) . “‘”;
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        }
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        return $value;
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        }
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $con = mysql_connect(“localhost”, “hello”, “
        
        321″);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        if (!$con)
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        {
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        die(‘Could not connect: ‘ . mysql_error());
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        }
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        // 进行安全的 SQL
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $user = check_input($_POST[
        
        'user']);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $pwd = check_input($_POST[
        
        'pwd']);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        $sql = “SELECT * FROM users WHERE
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        user=$user 
        
        AND password=$pwd”;
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        mysql_query($sql);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        mysql_close($con);
       
       
      
      

      
      
       
       
      
      
      
      
       
       
        
        ?>