magic_quotes

[Mr_Max]

magic_quotes

Здраствуйте
Что должно быть включено (выключено) чтоб автоматически раставлялись слеши перед кавычками?

Что что означает?
magic_quotes_gpc?
magic_quotes_runtime?
magic_quotes_sybase?

Спасибо

 

[tony2001]

1. где ?
2. с помощью телепатии - отвечу magic_quotes_gpc.

 

[Mr_Max]

tony2001

в пхп.ини

А что если слеши автоматом не проставляются?
magic_quotes_gpc On

 

[tony2001]

>>>чтоб автоматически раставлялись слеши перед кавычками?
>>где ?
>в пхп.ини
не где изменить, а где расставлялись ?
откуда ты данные берешь ?
в php.ini, кстати, возле каждого параметра написан комментарий.
их можно читать (сюрприз).

 

[Mr_Max]

$msg = strip_tags($msg_);
$sql="INSERT INTO forum VALUES (null, '$date', '$msg)";
mysql_query($sql);

я так понимаю, что если я наберу """"
должны добавиться слеши \"\"\"\"
и всё єто должно добаиться в базу
правильно я понимаю?

или я что-то не так делаю, или что-то не допонял
в базу добавляется """"

 

[RomikChef]

в базу все добавляется правильно. в базу данные добавляются как есть, не меняя ни одного байта.
слеши нужны только в запросе.
чтобы увидеть, есть ли слеши - выведи на экран запрос

 

[Mr_Max]

RomikChef

на екран выводится со слешами

а в чём-же тогда защита?

Объясните пожалуйста кто-нибудь

Спасибо

 

[RomikChef]

а в чем она состояла, по-твоему? ))

 

[lunizz]

Автор оригинала: Mr_Max
а в чём-же тогда защита?
Спасибо

имХо, наверно тут дело не в защите, а в обычной интерполяции данных.

Стоит ли ее включать глобально, если есть foo addslashes() ?

 

[RomikChef]

lunizz, а что такое "инерполяция данных"?
стоит ли чключать ее глобально - это личное дело каждого.

А дело, конечно же, именно в защите. и от ошибок и от взлома.
все просто, как 5 копеек. если в запросе есть одинарная кавычка, то, естественно, интерпретатор запроса сочтет, что это закрывающая кавычка переменной и дальше идут команды SQL

delete from table where id='$id'
$id="1' or id <>'1";
получаем
delete from table where id='1' or id <>'1'

это, конечно, гипотетический пример, потому, что если человек может удалить одно сообщение то сможет руками удалить и остальные, не модифицируя запрос.

 

[lunizz]

Да, ты прав.. что-то есть такое.

Те можно в запросе дописать к примеру

tratata.php?id=1 -> tratata.php?id="1

и последствия трудно предугадать.. это имелось ввиду?

А что такое инерполяция данных - hz