• 技术文章 >后端开发 >php教程

    php中什么是魔术引号

    藏色散人藏色散人2019-05-30 11:28:37原创2640

    什么是魔术引号:

    魔术引号是程序自动将进入PHP脚本的数据进行转意的过程。当打开时,所有的 '(单引号),"(双引号),\(反斜线)和 NULL 字符都会被自动加上一个反斜线进行转义。和 addslashes() 函数的作用完全相同。

    魔术引号指令:

    magic_quotes_gpc 影响到 HTTP 请求数据(GET,POST 和 COOKIE)。不能在运行时改变。在 PHP 中默认值为 on。 参见 get_magic_quotes_gpc()。

    magic_quotes_runtime 如果打开的话,大部份从外部来源取得数据并返回的函数,包括从数据库和文本文件,所返回的数据都会被反斜线转义。该选项可在运行的时改变,在 PHP 中的默认值为 off。 见 set_magic_quotes_runtime() 和 get_magic_quotes_runtime()。

    magic_quotes_sybase 如果打开的话,将会使用单引号对单引号进行转义而非反斜线。此选项会完全覆盖 magic_quotes_gpc。如果同时打开两个选项的话,单引号将会被转义成 ''。而双引号、反斜线 和 NULL 字符将不会进行转义。 如何取得其值参见 ini_get()。

    魔术引号作用:

    当初引入魔术引号是安全方面的考虑,阻止SQL注入,它能帮助php新手在不知不觉中写成相对更安全的代码,不过在今天,程序员已经能很好的意识到了这个安全问题,并最终使用数据库转移机制或者 prepared 语句来取代魔术引号功能。

    魔术引号缺陷:

    可移植性 :编程时认为其打开或并闭都会影响到移植性。可以用 get_magic_quotes_gpc() 来检查是否打开,并据此编程。

    性能: 由于并不是每一段被转义的数据都要插入数据库的,如果所有进入 PHP 的数据都被转义的话,那么会对程序的执行效率产生一定的影响。在运行时调用转义函数(如 addslashes())更有效率。 尽管 php.ini-dist 默认打开了这个选项,但是 php.ini-recommended 默认却关闭了它,主要是出于性能的考虑。

    不便: 由于不是所有数据都需要转义,在不需要转义的地方看到转义的数据就很烦。比如说通过表单发送邮件,结果看到一大堆的 \'。针对这个问题,可以使用 stripslashes() 函数处理。

    开关魔术引号:

    magic_quotes_gpc 是不能通过ini_set()的来设置的,设置magic_quotes_gpc有三种方法。

    1、修改PHP配置文件php.ini。这种方法需要对服务器有管理权限才能修改,如果只是虚拟空间就只能使用后面两种方法。

    ; Magic quotes
    ; Magic quotes for incoming GET/POST/Cookie data.
    magic_quotes_gpc = Off
    ; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
    magic_quotes_runtime = Off
    Use Sybase-style magic quotes (escape ' with '' instead of \').
    Magic_quotes_sybase = Off

    2、在htaccess中设置。只有服务器支持htaccess的情况下这种才能使用,

    php_flag magic_quotes_gpc Off

    3、代码中屏蔽。这种方法的移植性较强,但是效率最低,所以在有服务器管理权限的时候通过修改配置文章的方式关闭magic_quotes_gpc是最好的。

    实例代码:

    <?php
    if (get_magic_quotes_gpc()) {
        function stripslashes_deep($value)
        {
            $value = is_array($value) ?
                        array_map('stripslashes_deep', $value) :
                        stripslashes($value);
            return $value;
        }
        $_POST = array_map('stripslashes_deep', $_POST);
        $_GET = array_map('stripslashes_deep', $_GET);
        $_COOKIE = array_map('stripslashes_deep', $_COOKIE);
        $_REQUEST = array_map('stripslashes_deep', $_REQUEST);
    }
    ?>

    总结:

    当初是为了阻止SQL注入的需要引入了魔法引号,对于开发者有一定好的好友,但在使用的时候也带来很多的不便,现在有了更多更好的方案来替代,所以如果还是在php 5.3.0或php 5.3.0之前的版本做开发应该尽量避免使用魔法引号,php 5.4.0以后已经移除了。

    以上就是php中什么是魔术引号的详细内容,更多请关注php中文网其它相关文章!

    声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn核实处理。
    专题推荐:魔术引号
    上一篇:wampserver怎么下载 下一篇:php echo什么意思
    千万级数据并发解决方案

    相关文章推荐

    • PHP魔术引号所带来的安全问题分析,魔术引号_PHP教程• PHP在引号前面添加反斜杠的原因及PHP去除反斜杠的办法,三种办法关闭php魔术引号_PHP教程• PHP 魔术引号详解讲解_PHP教程• 解析:php关闭魔术引号magic_quotes_gpc
    1/1

    PHP中文网