Discussion :

[pierrot10]

Bonjour,

Je n'arrive pas a comprendre son role et comment elle intervient

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

get_magic_quotes_gpc()

J'ai fais une recherche sur le web, et j'ai trouvé des explications, mais elle me reste toujours ambigue

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
 
 
<?php
echo get_magic_quotes_gpc();         // 1
echo $_POST['lastname'];             // O\'reilly
echo addslashes($_POST['lastname']); // O\\\'reilly
 
if (!get_magic_quotes_gpc()) {
    $lastname = addslashes($_POST['lastname']);
} else {
    $lastname = $_POST['lastname'];
}
 
echo $lastname; // O\'reilly
$sql = "INSERT INTO lastnames (lastname) VALUES ('$lastname')";
?>

[mathieu]

pour voir la documentation officielle d'une fonction, il suffit d'aller à l'adresse "php.net/" + le nom de la fonction
par exemple tu peux aller à l'URL suivante pour la fonction "get_magic_quotes_gpc"
http://php.net/get_magic_quotes_gpc

[FMaz]

Les magic quote, c'est que PHP va ajouter automatiquement les shashes (\) aux requêtes POST ( et GET ??? )

Si les magic quote sont activé:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

echo $_POST['lastname'];             // O\'reilly

Si les magic quote sont désactivé:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

echo $_POST['lastname'];             // O'reilly

Donc si on fait un addslashes() alors que les magic quotes sont activé, on met trop de shashes:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

echo addslashes($_POST['lastname']); // O\\\'reilly

Alors on vérifie si les magic quote sont activé. Si ce n'est pas le cas, on ajoute des slashes, sinon, on fait rien: c'est déjà fait:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
if (!get_magic_quotes_gpc()) {
    $lastname = addslashes($_POST['lastname']);
} else {
    $lastname = $_POST['lastname'];
}

Sinon, moi j'ai 2 questions:
1) par défaut, les magic quote sont elles activés ou pas ?
2) Et ca s'applique seulement aux POST ou aussi au GET ?


Je trouve ca pas très pratique moi .. les magic quote.

[FoxLeRenard]

Sinon, moi j'ai 2 questions:
1) par défaut, les magic quote sont elles activés ou pas ?
2) Et ca s'applique seulement aux POST ou aussi au GET ?
Je trouve ca pas très pratique moi .. les magic quote.

Bonjour l' Ami

pour résumer et faire simple
get_magic_quotes_gpc() est une fonction qui ne fait que répondre a la question est-ce que les Guillemets magiques sont actif OUI ou NON

S'ils sont actifs, alors je n'ais pas a le faire avant d'écrire dans une base de donnée. (car ça ne sert qu'a cela,) on dit protéger les caractéres spéciaux ...

Cette fonctionnalité (les Guillemets magiques) est OBSOLETE depuis PHP 5.3.0 et a été SUPPRIMEE depuis PHP 6.0.0. Nous vous encourageons vivement à ne plus l'utiliser.

par contre a toute lecture de Base de données il faut supprimer ces \

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
 
$UserNom=stripslashes($row['UserNom']);

Si non pour le moment on écrit avant toute insertion en Base de donnée

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
 
 
 if(!get_magic_quotes_gpc() )
    {  $UserNom =addslashes($UserNom);  }

Va lire ceci ...
http://www.php.net/manual/fr/securit...uotes.what.php

[FMaz]

Si non pour le moment on écrit avant toute insertion en Base de donnée

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
 
 
 if(!get_magic_quotes_gpc() )
    {  $UserNom =addslashes($UserNom);  }

Bonjour l'ami !


Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()

Sinon, je sais très bien à quoi sert get_magic_quotes_gpc(), et je sais aussi que c'est deprecated. Mais ca ne répond pas exactement à mes 2 questions (si s'était bel et bien à moi que ta réponse s'adressait)

[Thes32]

Salut FMaz,

1) depuis PHP 5 cette fonction est par défaut activé et a été supprimé dans PHP 6.
2) On peut lire ceci dans http://www.php.net/manual/fr/security.magicquotes.what.php

magic_quotes_gpc Affecte les données issues des requêtes HTTP (GET, POST, et COOKIE)

[FoxLeRenard]

Bonjour l'ami !


Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()

Ah bon mon Ami, et si j'écris mon texte dans un fichier texte je fais quoi

[FMaz]

Salut

Je suis pas trop sur de voir où tu veux en venir:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
 
if (!get_magic_quotes_gpc()) {
    $lastname = addslashes($_POST['lastname']);
} else {
    $lastname = $_POST['lastname'];
}
 
echo $lastname; // O\'reilly
$sql = "INSERT INTO lastnames (lastname) VALUES ('$lastname')";

Cet exemple me fait vraiment dire qu'il s'agit d'une insertion dans une base de données, et non d'une écriture dans un fichier texte.

Et dans le cas des insertions dans des bases de données, on peut lire ceci sur le site de PHP, dans les commentaires à propos de addslashes():

addslashes does NOT make your input safe for use in a database query! It only escapes according to what PHP defines, not what your database driver defines. Any use of this function to escape strings for use in a database is likely an error - mysql_real_escape_string, pg_escape_string, etc, should be used depending on your underlying database as each database has different escaping requirements. In particular, MySQL wants \n, \r and \x1a escaped which addslashes does NOT do. Therefore relying on addslashes is not a good idea at all and may make your code vulnerable to security risks. I really don't see what this function is supposed to do.

Et ceci, toujours sur le site de php, dans la définition de mysql_real_escape_string():

This function must always (with few exceptions) be used to make data safe before sending a query to MySQL.

J'espère pas trop vous avoir tué avec de l'anglais

[FoxLeRenard]

Salut
Je suis pas trop sur de voir où tu veux en venir:

Juste tu m'avais écris cela

Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()


Alors pensant au cas general je me disais que lorsqu' il sagit d'écrire dans un fichier texte (CE QUI N EST PAS LE CAS ICI) mais enfin dans tout les cas ou on écrit en files il faut bien utiliser addslashes et il est trés trés bien