对于php中magic_quotes_gpc的一点认识

最新推荐文章于 2024-11-06 21:12:29 发布
最新推荐文章于 2024-11-06 21:12:29 发布
阅读量648 收藏
点赞数
文章标签： php 数据库 sun escaping performance sql

对于php中magic_quotes_gpc的一点认识

作者：blankyao 发布时间：October 9, 2007 分类：PHP笔记

最近一直在做一个文章发布系统，做了改，改了做，一直到现在还没竣工....

 

为了达到更好的兼容性，其中的程序涉及到了magic_quotes_gpc，看了下手册，又找了些资料，分析了下，分享给大家。

 

 

 


----------------------------------DESCRIPTION-------------------------------------------------------

先看下手册上怎么说的吧！

 

对一般人来说看下前两段就可以了

 

Magic Quotes

 

 

PHP代码
  1. Magic Quotes is a process that automagically escapes incoming data to the PHP script. It's preferred to code with magic quotes off and to instead escape the data at runtime, as needed.

 

 

What are Magic Quotes

 

 

 

PHP代码
  1. When on, all ' (single-quote), " (double quote), / (backslash) and NULL characters are escaped with a backslash automatically. This is identical to what addslashes() does.
  2. There are three magic quote directives:
  3. magic_quotes_gpc
  4. Affects HTTP Request data (GET, POST, and COOKIE). Cannot be set at runtime, and defaults to on in PHP.
  6. magic_quotes_runtime
  7. If enabled, most functions that return data from an external source, including databases and text files, will have quotes escaped with a backslash. Can be set at runtime, and defaults to off in PHP.
  8. magic_quotes_sybase
  9. If enabled, a single-quote is escaped with a single-quote instead of a backslash. If on, it completely overrides magic_quotes_gpc. Having both directives enabled means only single quotes are escaped as ''. Double quotes, backslashes and NULL's will remain untouched and unescaped.

 

 

Why use Magic Quotes

 

 

 

PHP代码
  1. Useful for beginners
  2. Magic quotes are implemented in PHP to help code written by beginners from being dangerous. Although SQL Injection is still possible with magic quotes on, the risk is reduced.
  3. Convenience
  4. For inserting data into a database, magic quotes essentially runs addslashes() on all Get, Post, and Cookie data, and does so automagically.

 

 

Why not to use Magic Quotes

 

 

 

PHP代码
  1. Portability
  2. Assuming it to be on, or off, affects portability. Use get_magic_quotes_gpc() to check for this, and code accordingly.
  3. Performance
  4. Because not every piece of escaped data is inserted into a database, there is a performance loss for escaping all this data. Simply calling on the escaping functions (like addslashes()) at runtime is more efficient.
  5. Although php.ini-dist enables these directives by default, php.ini-recommended disables it. This recommendation is mainly due to performance reasons.
  6. Inconvenience
  7. Because not all data needs escaping, it's often annoying to see escaped data where it shouldn't be. For example, emailing from a form, and seeing a bunch of /' within the email. To fix, this may require excessive use of stripslashes().

 

 

这些英文实在是需要像我这类人有足够的耐心啊（不是说我有耐心，而是我英语烂），刚才也说了，对于一般人只看下前两段就可以了，特别是我用红色标出来的字！！！

 

另外，特别注意的是，魔术引用发生作用是在传递$_GET,$_POST,$_COOKIE时

 

下面是案例

 

1.

条件： magic_quotes_gpc=off

写入数据库的字符串未经过任何过滤处理。从数据库读出的字符串也未作任何处理。

 

数据：  $data="snow''''sun" ; (snow和sun之间是四个连续的单引号).

 

操作： 将字符串:"snow''''sun" 写入数据库，

 

结果： 出现sql语句错误，mysql不能顺利完成sql语句，写入数据库失败。

 

数据库保存格式：无数据。

 

输出数据格式：无数据。

 

说明： 对于未经处理的单引号在写入数据库时会使sql语句发生错误。

 


2.

条件： magic_quotes_gpc=off

写入数据库的字符串经过函数addlashes()处理。从数据库读出的字符串未作任何处理。

 

数据：  $data="snow''''sun" ; (snow和sun之间是四个连续的单引号).

 

操作： 将字符串:"snow''''sun" 写入数据库，

 

结果： sql语句顺利执行，数据成功写入数据库

 

数据库保存格式：snow''''sun (和输入一样)

 

输出数据格式：snow''''sun (和输入一样)

 

说明： addslashes()函数将单引号转换为/'的转义字符使sql语句成功执行，

但/'并未作为数据存入数据库，数据库保存的是snow''''sun 而并不是我们想象的snow/'/'/'/'sun

 


3.

条件： magic_quotes_gpc=on

写入数据库的字符串未经过任何处理。从数据库读出的字符串未作任何处理。

 

数据：  $data="snow''''sun" ; (snow和sun之间是四个连续的单引号).

 

操作： 将字符串:"snow''''sun" 写入数据库，

 

结果： sql语句顺利执行，数据成功写入数据库

 

数据库保存格式：snow''''sun (和输入一样)

 

输出数据格式：snow''''sun (和输入一样)

 

说明： magic_quotes_gpc=on 将单引号转换为/'的转义字符使sql语句成功执行，

但/'并未作为数据入数据库，数据库保存的是snow''''sun而并不是我们想象的snow/'/'/'/'sun。

 

4.

条件： magic_quotes_gpc=on

写入数据库的字符串经过函数addlashes()处理。从数据库读出的字符串未作任何处理。

 

数据：  $data="snow''''sun" ; (snow和sun之间是四个连续的单引号).

 

操作： 将字符串:"snow''''sun" 写入数据库，

 

结果： sql语句顺利执行，数据成功写入数据库

 

数据库保存格式：snow/'/'/'/'sun (添加了转义字符)

 

输出数据格式：snow/'/'/'/'sun (添加了转义字符)

 

说明： magic_quotes_gpc=on 将单引号转换为/'的转义字符使sql语句成功执行，

addslashes又将即将写入数据库的单引号转换为/',后者的转换被作为数据写入

数据库，数据库保存的是snow/'/'/'/'sun

 

总结如下：

 

1. 对于magic_quotes_gpc=on的情况，

 

我们可以不对输入和输出数据库的字符串数据作

addslashes()和stripslashes()的操作,数据也会正常显示。

 

如果此时你对输入的数据作了addslashes()处理，

那么在输出的时候就必须使用stripslashes()去掉多余的反斜杠。

 

2. 对于magic_quotes_gpc=off 的情况

 

必须使用addslashes()对输入数据进行处理，但并不需要使用stripslashes()格式化输出

因为addslashes()并未将反斜杠一起写入数据库，只是帮助mysql完成了sql语句的执行。

 

补充：

 

magic_quotes_gpc 作用范围是：ＷＥＢ客户服务端；作用时间：请求开始时，例如当脚本运行时．

magic_quotes_runtime 作用范围：从文件中读取的数据或执行exec()的结果或是从ＳＱＬ查询中得到的；作用时间：每次当脚本访问运行状态中产生的数据

 

原帖地址http://www.phpfans.net/bbs/viewthread.php?tid=6860&page=1&extra=page%3D1

 

标签: php , magic_quotes_gpc

 

luckninjya
关注
php中get_magic_quotes_gpc()函数说明
12-18
在PHP编程语言中，`get_magic_quotes_gpc()`是一个非常重要的函数，主要用于处理用户通过GET、POST或COOKIE方式提交的数据。这个函数的核心作用是检查PHP的配置选项`magic_quotes_gpc`的状态，该选项决定了PHP是否会...
php magic_quotes_gpc的一点认识与分析
10-30
magic_quotes_gpc是PHP中的一个配置指令，它涉及到了PHP中数据处理的一些重要知识，特别是在处理输入数据时的自动转义功能。在进行网站开发，尤其是文章发布系统时，数据的输入和输出处理是一个重要方面。了解magic_...
基于magic_quotes_gpc与magic_quotes_runtime的区别与使用介绍
10-27
magic_quotes_gpc与magic_quotes_runtime是PHP语言中用于自动转义特殊字符的两个配置指令，它们的主要目的是为了防止SQL注入等安全问题。这两个指令对于处理用户输入的数据，尤其是从GET、POST、COOKIE等超全局变量...
基于PHP magic_quotes_gpc的使用方法详解
10-27
在PHP开发中，magic_quotes_gpc是一个用于自动转义输入数据的全局配置选项。它主要作用于Web客户服务端，其功能是从用户请求开始时自动为所有的GET、POST和COOKIE数据中的特殊字符添加反斜杠(\)作为转义字符。这个...
嵌入式学习-网络高级-Day01
Xiaomo1536的博客
11-06 734
对于读数据以及写单个来说，在主机询问报文里面报文头中字节长度固定，都是0x0006，（1个字节的单元标识符，1个字节功能码，2个字节的地址，2个字节的数据）输入寄存器，这个和保持寄存器类似，但是也是只支持读而不能写。报文头------功能码-------起始地址-------数量--------字节计数--------数据。报文头（字节长度可能发生变化）------功能码------字节计数-------数据。报文头------功能码-------地址-------数据/断通标志（2个字节）
PHP-FPM 性能配置优化
陈万洲的专栏
11-05 759
FastCGI 是的简称，是一种交互程序（此处是 PHP）与 Web 服务器之间的 通信协议。FastCGI 是早期通用网关接口（CGI）的增强版本。注意 FastCGI 和 CGI 都是一种通信协议，独立于任何语言。Web 服务器无须对语言有任何了解。除 PHP 有 php-fpm 外，像 Python, Ruby, Perl, Tcl, C/C++, 和 Visual Basic 都有其各自的 CGI 和 FastCGI 实现。
黑客扫描全网 Git 配置文件并窃取大量云凭据
分享web安全、AI安全、云安全、业务安全、渗透测试、安全开发、安全工具、行业动态等优质内容……
11-01 1431
Sysdig 表示，在 Telegram 上，仅指向公开的 Git 配置文件的 URL 列表就以 100 美元左右的价格出售，那些实际去利用的人可能会赚取到更多的钱。攻击者使用暴露的电子邮件平台身份验证令牌来开展垃圾邮件和网络钓鱼活动。在公开的 URL 中，有 28,000 个对应于 Git 存储库，6,000 个是 GitHub 令牌，值得注意的是，有 2,000 个被验证为有效凭证。Sysdig 表示，黑客甚至创建了文件，列出了所有可能的 IPv4 地址，包含超过 42 亿个目标，以方便未来的扫描。
微信小程序寓言童话创作APP设计与实现
qq2295116502的博客
11-05 476
本文通过对现有寓言童话创作APP的调研和分析，取其精华去其糟粕，遵循软件工程方法进行系统分析、总体设计和详细设计，最终设计开发基于Android的寓言童话创作APP。本系统分为管理员、作者、用户三种用户。管理员用户可以通过本系统进行寓言童话管理、用户管理、审批作品管理。用户可以通过本系统进行题目的查询、登录、阅读寓言童话等内容。1.系统登录登录过程是通过web服务器，在后台的数据库通过用户名称密码进行査询。有该注册用户方可使用该系统。2.信息查询。
Automattic 和 Matt Mullenweg 要求驳回 WP Engine 诉讼案中的关键索赔
WP站长
11-03 1037
Automattic 和 Matt Mullenweg 已提交回应，要求法院驳回 WP Engine 诉讼中的第 1-6 项和第 9-11 项指控。WP Engine 于 2024 年 10 月 18 日向北加州法院提交了一份动议，要求获得初步禁令，寻求恢复对 WordPress.org 的访问，并恢复到 2024 年 9 月 20 日的状态。作为回应，Automattic 提交了三份关键文件：驳回 WP Engine 投诉的动议、撤销动议以及反对 WP Engine 初步禁令的动议。
信息学科平台系统设计与实现：Spring Boot框架
2401_85812053的博客
11-02 656
1系统概述 1.1 研究背景 随着计算机技术的发展以及计算机网络的逐渐普及，互联网成为人们查找信息的重要场所，二十一世纪是信息的时代，所以信息的管理显得特别重要。因此，使用计算机来管理基于保密信息学科平台系统的相关信息成为必然。开发合适的基于保密信息学科平台系统，可以方便管理人员对基于保密信息学科平台系统的管理，提高信息管理工作效率及查询效率，有利于更好的为人们服务。 1.2研究目的 随着互联网技术的快速发展，网络时代的到来，网络信息也将会改变当今社会。各行各业在日常企业经营管理等方面也在慢慢的向规范化和网
【无标题】
m0_52150489的博客
11-03 258
【代码】【无标题】
基于PHP的设云尘资讯网站设计与实现
程序猿麦小七
11-04 403
本系统设计是基于PHP的信息资讯网站的设计与实现，可以提供给用户便捷的平台。用PHP主流技术建设云尘资讯网站实现信息化的传播，采用THML以及CSS样式建立WEB网页，使得用户访问前端页面优美丰富，能够分享社会事迹、娱乐资讯、科学探究以及搞笑趣事等信息，充分的发挥现在信息化技术的优势，提供给用户闲暇时的阅读和了解，简单快速的获取自己想要的信息。使用到的工具和技术都是开源免费的。首页、登录注册、失物找寻、社会纪实、搞笑专栏、娱乐资讯、科学探究。网站首页、网站管理、内容管理、扩展管理、模板插件、系统管理。
n1book web1信息收集
shierbai的博客
11-03 248
2..index.php.swp这样的会触发下载，需要使用vim -r index.php.swp去做修复才能看。可以使用dirsearch的--delay n和-t n控制延时和线程数量避免429。访问robots.txt，访问里面给出的接口拿到第一部分flag。最后使用curl -o 1.swp xxxxxx（靶场url）1.使用目录扫描工具会遇到429请求过多。再vim -r 1.swp得到第三段。访问index.php~得到第二段。使用dirsearch扫描。
如何使用闲置硬件搭建一个安装运行资源较少的Tipask问答网站服务器
LT15171009269的博客
11-04 1046
今天和大家分享一下如何在Ubuntu系统上搭建一个Tipask私人问答网站，并结合cpolar内网穿透工具为本地站点配置公网地址，轻松实现无公网IP也能远程访问本地搭建的站点。
ctfshow(89,90,92,93)--PHP特性--intval函数
m0_56019217的博客
11-01 721
intval的第一个参数是传入的变量，第二个参数是转换为整数型所使用的进制。默认值为0，此时会根据参数 $var 的格式来选择进制：var以0开头时使用八进制；利用上述特性，我们可以传入八进制或者十六进制的4476，intval函数就会将其转换为十进制的4476.如果intval($num,0)强类型比较与4476相同，输出flag.我们要让参数num中不含数字的同时让intval($num)=1。如果intval($num)=1，输出flag.一. 返回值为0，当转换失败或传入空数组时。
第11章 LAMP架构企业实战
最新发布
lihuhelihu的博客
11-06 645
随着开源潮流的蓬勃发展，开放源代码的LAMP已经与J2EE和.Net商业软件形成三足鼎立之势，并且该软件开发的项目在软件方面的投资成本较低，因此受到整个IT界的关注。LAMP架构受到大多数中小企业的运维、DBA、程序员的青睐，Apache默认只能发布静态网页，而LAMP组合可以发布静态+PHP动态页面。静态页面通常指不与数据库发生交互的页面，是一种基于w3c规范的一种网页书写格式，是一种统一协议语言，所以称之为静态网页。
华为eNSP：mux-vlan
nankon_的博客
11-06 890
一、什么是mux-vlan？ Mux-vlan 是一种多路复用的虚拟局域网（Virtual Local Area Network）技术。它将多个不同的VLAN流量转发到同一个物理端口，从而实现VLAN间的互通。 在传统的以太网环境中，每个VLAN通常都有一个独立的物理接口来传输其数据。而在mux-vlan中，一个物理接口可以同时承载多个VLAN的数据流量。这种技术可以帮助节省网络设备的物理接口，降低网络成本。 mux-vlan通过使用VLAN标签来区分不同的网络流量。当数据包到达交换机时，交换机根据数
考公人数攀升？地信、测绘、地质、遥感等专业，能报考哪些单位
2403_88103571的博客
11-05 552
近年来，考公人数持续飙升，国考报名人数更逐年攀升。国考报名人数再创新高。政府办公室、自然资源规划局、市场监管局、住房与城乡建设局、能源市场监管局、应总管理局、机关事务管理局、税务局、城市管理局、乡村振兴局、街道办。测绘地理信息局、地震局、水利部、统计局、园林局、海关、自然资源和规划局、住房保障和房地产管理局。测绘地理信息局、地震局、水利湖、统计局、消防、海关、自然资源和规划局、住房保障和房地产管理局。士木工程、建筑环境与能源应用工程、给排水科学与工程、建筑电气与智能化、城市地下空间工。
华为eNSP：QinQ
nankon_的博客
11-06 864
一、什么是QinQ？ QinQ是一种网络技术，全称为"Quantum Insertion"，也被称为"Q-in-Q"、"Double Tagging"或"VLAN stacking"。它是一种在现有的VLAN（Virtual Local Area Network）标签中再添加一个额外的VLAN标签的方法。 QinQ的主要目的是解决VLAN的可扩展性问题。在传统的VLAN中，每个VLAN只能支持一定数量的网络设备。当网络规模扩大时，就会出现VLAN数量不足的情况。通过使用QinQ技术，可以在已有的VLAN
magic_quotes_gpc
05-01
magic_quotes_gpc是一个在旧版本的PHP中存在的特性，它用于自动转义通过GET、POST和COOKIE方式传递的数据。它的作用是为了防止SQL注入和其他安全漏洞。 当magic_quotes_gpc开启时，PHP会自动对传递的数据进行转义，将特殊字符添加反斜杠。这样可以确保数据在存储到数据库或者输出到页面时不会引起意外的问题。 然而，由于magic_quotes_gpc的设计存在一些问题，因此在PHP 5.4.0版本中被废弃，并在PHP 5.4.0之后的版本中移除。这是因为它可能导致数据处理不一致，而且在新版本的PHP中已经有更好的安全机制来处理输入数据。 如果你在使用较新版本的PHP，magic_quotes_gpc应该是默认关闭的。如果你需要使用类似的功能来确保数据安全，建议使用更现代化的方法，比如使用预处理语句或者转义函数来处理输入数据。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值