PHP语言什么是魔术引号,什么是PHP魔术引号

今天在读EcShop的源码中发现里面有几个地方涉及到了PHP魔术引号，之前也碰到过都忽略过去了，再次碰到该深入的理解，虽然自PHP 5.3.0起魔术引号被废弃废弃并将自PHP 5.4.0起移除，但是了解魔术引号以后，在阅读一些PHP 5.3.0之前源码碰到了魔术引号阅读起来也很顺畅。

什么是魔术引号：

魔术引号是程序自动将进入PHP脚本的数据进行转意的过程。当打开时，所有的 '(单引号)，"(双引号)，\(反斜线)和 NULL 字符都会被自动加上一个反斜线进行转义。和 addslashes() 函数的作用完全相同。

魔术引号指令：

magic_quotes_gpc 影响到 HTTP 请求数据(GET，POST 和 COOKIE)。不能在运行时改变。在 PHP 中默认值为 on。 参见 get_magic_quotes_gpc()。

magic_quotes_runtime 如果打开的话，大部份从外部来源取得数据并返回的函数，包括从数据库和文本文件，所返回的数据都会被反斜线转义。该选项可在运行的时改变，在 PHP 中的默认值为 off。 见 set_magic_quotes_runtime() 和 get_magic_quotes_runtime()。

magic_quotes_sybase 如果打开的话，将会使用单引号对单引号进行转义而非反斜线。此选项会完全覆盖 magic_quotes_gpc。如果同时打开两个选项的话，单引号将会被转义成 ''。而双引号、反斜线 和 NULL 字符将不会进行转义。 如何取得其值参见 ini_get()。

魔术引号作用：

当初引入魔术引号是安全方面的考虑，阻止SQL注入，它能帮助php新手在不知不觉中写成相对更安全的代码，不过在今天，程序员已经能很好的意识到了这个安全问题，并最终使用数据库转移机制或者 prepared 语句来取代魔术引号功能。

魔术引号缺陷：

可移植性 ：编程时认为其打开或并闭都会影响到移植性。可以用 get_magic_quotes_gpc() 来检查是否打开，并据此编程。

性能： 由于并不是每一段被转义的数据都要插入数据库的，如果所有进入 PHP 的数据都被转义的话，那么会对程序的执行效率产生一定的影响。在运行时调用转义函数(如 addslashes())更有效率。 尽管 php.ini-dist 默认打开了这个选项，但是 php.ini-recommended 默认却关闭了它，主要是出于性能的考虑。

不便： 由于不是所有数据都需要转义，在不需要转义的地方看到转义的数据就很烦。比如说通过表单发送邮件，结果看到一大堆的 \'。针对这个问题，可以使用 stripslashes() 函数处理。

开关魔术引号：

1、修改PHP配置文件php.ini。这种方法需要对服务器有管理权限才能修改，如果只是虚拟空间就只能使用后面两种方法。

; Magic quotes

; Magic quotes for incoming GET/POST/Cookie data.

magic_quotes_gpc = Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.

magic_quotes_runtime = Off

Use Sybase-style magic quotes (escape ' with '' instead of \').

Magic_quotes_sybase = Off

2、在htaccess中设置。只有服务器支持htaccess的情况下这种才能使用，

php_flag magic_quotes_gpc Off

3、代码中屏蔽。这种方法的移植性较强，但是效率最低，所以在有服务器管理权限的时候通过修改配置文章的方式关闭magic_quotes_gpc是最好的。

实例代码：

if (get_magic_quotes_gpc()) {

function stripslashes_deep($value)

{

$value = is_array($value) ?

array_map('stripslashes_deep', $value) :

stripslashes($value);

return $value;

}

$_POST = array_map('stripslashes_deep', $_POST);

$_GET = array_map('stripslashes_deep', $_GET);

$_COOKIE = array_map('stripslashes_deep', $_COOKIE);

$_REQUEST = array_map('stripslashes_deep', $_REQUEST);

}

?>

总结：当初是为了阻止SQL注入的需要引入了魔法引号，对于开发者有一定好的好友，但在使用的时候也带来很多的不便，现在有了更多更好的方案来替代，所以如果还是在php 5.3.0或php 5.3.0之前的版本做开发应该尽量避免使用魔法引号，php 5.4.0以后已经移除了。

本文作者：罗登   一个能思考，肯苦干的人！！！

PHP 魔术引号

1.魔术引号的作用是什么? ​ 魔术引号设计的初衷是为了让从数据库或文件中读取数据和从请求中接收参数时,对单引号.双引号.反斜线.NULL加上一个一个反斜线进行转义,这个的作用跟addslashes( ...

PHP之魔术引号

什么是魔术引号 Warning 本特性已自 PHP5.3.0起废弃并将自PHP5.4.0起移除. 当打开,所有的'(单引号),"(双引号),  (反斜线)和NULL 字符都会被自动加上一个反 ...

WEB安全 魔术引号及注入类型

一.魔术引号 1. magic_quotes_gpc 变量 什么是魔术引号 Warning本特性已自 PHP 5.3.0 起废弃并将自 PHP 5.4.0 起移除.当打开时,所有的 '(单引号),&q ...

char函数绕过魔术引号注入

我目前学习到的绕过魔术引号的几种方法(如果知道还有别的请万望告之): 1.倘若服务端是GBK可以尝试宽字节注入 2.使用char函数绕过魔术引号进行注入 3.同char函数类似的函数,例如bin(转换 ...

magic_quotes_gpc(魔术引号开关)

magic_quotes_gpc函数在php中的作用是判断解析用户提示的数据,如包括有:post.get.cookie过来的数据增加转义字符“\”,以确保这些数据不会引起程序,特别是数据库语句因为特殊 ...

magic_quotes_sybase(魔术引号开关)

magic_quotes_sybase,如果该选项在php.ini文件中是唯一开启的话,将只会转义%00为\0(即null字符).此选项会完全覆盖magic_quotes_gpc.如果同时开启这两个选 ...

magic_quotes_runtime(魔术引号开关)

我们可以通过以下代码来探测php环境中magic_quotes_runtime是否开启: magic_runtime.php 源代码如下: <?php //当magic_quotes_runti ...

PHP引号转义中解决POST，GET，Mysql数据自动转义问题

在处理mysql和GET.POST的数据时,常常要对数据的引号进行转义操作. PHP中有三个设置可以实现自动对’(单引号),”(双引号),\(反斜线)和 NULL 字符转转. PHP称之为魔术引号,这 ...

php 基础代码大全(不断完善中)

下面是基础的PHP的代码,不断完善中~ //语法错误(syntax error)在语法分析阶段,源代码并未被执行,故不会有任何输出. /* [命名规则] */ 常量名 类常量建议全大写,单词间用下划线 ...

随机推荐

Windows平台字符的存储和输出分析

1. 引言 (写于2011-07-30) 在Windows NT系列的操作系统中最常用的两种字符集是ANSI和Unicode.ANSI是一种泛称,每一个国家或地区的ANSI编码都不一样,比如在Wind ...

《我与Android不得不说的故事-1-立贴明志》

产品需要迭代,人也一样,自我更新,才能不断进步,进军新领域,立贴明志. 顺便记录一下新路上的坑坑洼洼

HDU5723 Abandoned country (最小生成树&plus;深搜回溯法)

Description An abandoned country has n(n≤100000) villages which are numbered from 1 to n. Since aban ...

JAVA实用案例之文件导入导出(POI方式)

1.介绍 java实现文件的导入导出数据库,目前在大部分系统中是比较常见的功能了,今天写个小demo来理解其原理,没接触过的同学也可以看看参考下. 目前我所接触过的导入导出技术主要有POI和iRepo ...

【原创】谈谈线上CPU100&percnt;排查套路

引言 不知道在大家面试中,有没有遇到这个问题 生产服务器上部署了几个java程序,突然出现了CPU100%的异常告警,你如何定位出问题呢? 这个问题分为两版回答! 高调版 对不起,我是做研发的,这个问 ...

IoC容器的接口设计

1.从接口BeanFactory---HierarchicalBeanFactory---ConfigurableBeanFactory,是一条主要的BeanFactory设计路径. 2.第二条接口设 ...

nodejs----初期学习笔记

//一 回调函数 //require---命令//Node 使用了大量的回调函数,Node 所有 API 都支持回调函数.//例如,我们可以一边读取文件,一边执行其他命令,在文件读取完成后,我们将文件 ...

spring boot2 集成Redis

1. 引入依赖 org.springframework.bootspr ...

Servlet是单例的吗？

如题,是吗?首先我们得搞清楚啥是单例.一聊起单例,条件反射的第一个想到的自然是单例模式.单例模式的定义:一个类有且仅有一个实例,并且自行实例化向整个系统提供.如果按照Java中单例的定义,那么当Ser ...

python爬虫解析库之re模块

re模块 一:什么是正则? 正则就是用一些具有特殊含义的符号组合到一起(称为正则表达式)来描述字符或者字符串的方法.或者说:正则就是用来描述一类事物的规则.(在Python中)它内嵌在Python中, ...