魔術引用和函數addslashes()的微妙關係

註明:下面的數據均是指通過Get/Post/Cookies獲得的!

  1.

  條件: magic_quotes_gpc=off

  寫入數據庫的字符串未經過任何過濾處理。從數據庫讀出的字符串也未作任何處理。

  數據: $data="snow''''sun" ; (snow和sun之間是四個連續的單引號).

  操作: 將字符串:"snow''''sun" 寫入數據庫,

  結果: 出現sql語句錯誤,mysql不能順利完成sql語句,寫入數據庫失敗。

  數據庫保存格式:無數據。

  輸出數據格式:無數據。

  說明: 對於未經處理的單引號在寫入數據庫時會使sql語句發生錯誤。

  2.

  條件: magic_quotes_gpc=off

  寫入數據庫的字符串經過函數addlashes()處理。從數據庫讀出的字符串未作任何處理。

  數據: $data="snow''''sun" ; (snow和sun之間是四個連續的單引號).

  操作: 將字符串:"snow''''sun" 寫入數據庫,

  結果: sql語句順利執行,數據成功寫入數據庫

  數據庫保存格式:snow''''sun (和輸入一樣)

  輸出數據格式:snow''''sun (和輸入一樣)

  說明: addslashes()函數將單引號轉換爲'的轉義字符使sql語句成功執行,

  但'並未作爲數據存入數據庫,數據庫保存的是snow''''sun 而並不是我們想象的snow''''sun

  3.

  條件: magic_quotes_gpc=on

  寫入數據庫的字符串未經過任何處理。從數據庫讀出的字符串未作任何處理。

  數據: $data="snow''''sun" ; (snow和sun之間是四個連續的單引號).

  操作: 將字符串:"snow''''sun" 寫入數據庫,

  結果: sql語句順利執行,數據成功寫入數據庫

  數據庫保存格式:snow''''sun (和輸入一樣)

  輸出數據格式:snow''''sun (和輸入一樣)

  說明: magic_quotes_gpc=on 將單引號轉換爲'的轉義字符使sql語句成功執行,

  但'並未作爲數據入數據庫,數據庫保存的是snow''''sun而並不是我們想象的snow''''sun。

  4.

  條件: magic_quotes_gpc=on

  寫入數據庫的字符串經過函數addlashes()處理。從數據庫讀出的字符串未作任何處理。

  數據: $data="snow''''sun" ; (snow和sun之間是四個連續的單引號).

  操作: 將字符串:"snow''''sun" 寫入數據庫,

  結果: sql語句順利執行,數據成功寫入數據庫

  數據庫保存格式:snow''''sun (添加了轉義字符)

  輸出數據格式:snow''''sun (添加了轉義字符)

  說明: magic_quotes_gpc=on 將單引號轉換爲'的轉義字符使sql語句成功執行,

  addslashes又將即將寫入數據庫的單引號轉換爲',後者的轉換被作爲數據寫入

  數據庫,數據庫保存的是snow''''sun

  總結如下:

  1. 對於magic_quotes_gpc=on的情況,

  我們可以不對輸入和輸出數據庫的字符串數據作

  addslashes()和stripslashes()的操作,數據也會正常顯示。

  如果此時你對輸入的數據作了addslashes()處理,

  那麼在輸出的時候就必須使用stripslashes()去掉多餘的反斜槓。

  2. 對於magic_quotes_gpc=off 的情況

  必須使用addslashes()對輸入數據進行處理,但並不需要使用stripslashes()格式化輸出

  因爲addslashes()並未將反斜槓一起寫入數據庫,只是幫助mysql完成了sql語句的執行。

  補充:

  mygic_quotes_gpc 作用範圍是:WEB客戶服務端;作用時間:請求開始是,例如當腳本運行時.

  mygic_quotes_runtime 作用範圍:從文件中讀取的數據或執行exec()的結果或是從SQL查詢中得到的;作用時間:每次當腳本訪問運行狀態中產生的數據

發佈了46 篇原創文章 · 獲贊 6 · 訪問量 24萬+
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章