get_magic_quotes_gpc()

Bonjour,

Je n'arrive pas a comprendre son role et comment elle intervient

Code:

---

get_magic_quotes_gpc()

---

J'ai fais une recherche sur le web, et j'ai trouvé des explications, mais elle me reste toujours ambigue :oops:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

<?php echo get_magic_quotes_gpc(); // 1 echo $_POST['lastname']; // O\'reilly echo addslashes($_POST['lastname']); // O\\\'reilly   if (!get_magic_quotes_gpc()) { $lastname = addslashes($_POST['lastname']); } else { $lastname = $_POST['lastname']; }   echo $lastname; // O\'reilly $sql = "INSERT INTO lastnames (lastname) VALUES ('$lastname')"; ?>

---

pour voir la documentation officielle d'une fonction, il suffit d'aller à l'adresse "php.net/" + le nom de la fonction
par exemple tu peux aller à l'URL suivante pour la fonction "get_magic_quotes_gpc"
http://php.net/get_magic_quotes_gpc

Les magic quote, c'est que PHP va ajouter automatiquement les shashes (\) aux requêtes POST ( et GET ??? )

Si les magic quote sont activé:

Code:

---

echo $_POST['lastname']; // O\'reilly

---

Si les magic quote sont désactivé:

Code:

---

echo $_POST['lastname']; // O'reilly

---

Donc si on fait un addslashes() alors que les magic quotes sont activé, on met trop de shashes:

Code:

---

echo addslashes($_POST['lastname']); // O\\\'reilly

---

Alors on vérifie si les magic quote sont activé. Si ce n'est pas le cas, on ajoute des slashes, sinon, on fait rien: c'est déjà fait:

Code:

---

1 2 3 4 5

if (!get_magic_quotes_gpc()) { $lastname = addslashes($_POST['lastname']); } else { $lastname = $_POST['lastname']; }

---

Sinon, moi j'ai 2 questions:
1) par défaut, les magic quote sont elles activés ou pas ?
2) Et ca s'applique seulement aux POST ou aussi au GET ?


Je trouve ca pas très pratique moi .. les magic quote.

Citation:

---

Envoyé par FMaz

Sinon, moi j'ai 2 questions:
1) par défaut, les magic quote sont elles activés ou pas ?
2) Et ca s'applique seulement aux POST ou aussi au GET ?
Je trouve ca pas très pratique moi .. les magic quote.

---

Bonjour l' Ami

pour résumer et faire simple
get_magic_quotes_gpc() est une fonction qui ne fait que répondre a la question est-ce que les Guillemets magiques sont actif OUI ou NON

S'ils sont actifs, alors je n'ais pas a le faire avant d'écrire dans une base de donnée. (car ça ne sert qu'a cela,) on dit protéger les caractéres spéciaux ...

Cette fonctionnalité (les Guillemets magiques) est OBSOLETE depuis PHP 5.3.0 et a été SUPPRIMEE depuis PHP 6.0.0. Nous vous encourageons vivement à ne plus l'utiliser.

par contre a toute lecture de Base de données il faut supprimer ces \

Code:

---

1 2 3

$UserNom=stripslashes($row['UserNom']);

---

Si non pour le moment on écrit avant toute insertion en Base de donnée

Code:

---

1 2 3 4

if(!get_magic_quotes_gpc() ) { $UserNom =addslashes($UserNom); }

---

Va lire ceci ...
http://www.php.net/manual/fr/securit...uotes.what.php

Citation:

---

Envoyé par FoxLeRenard

Si non pour le moment on écrit avant toute insertion en Base de donnée

Code:

---

1 2 3 4

if(!get_magic_quotes_gpc() ) { $UserNom =addslashes($UserNom); }

---

---

Bonjour l'ami ! :)


Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()

Sinon, je sais très bien à quoi sert get_magic_quotes_gpc(), et je sais aussi que c'est deprecated. Mais ca ne répond pas exactement à mes 2 questions (si s'était bel et bien à moi que ta réponse s'adressait)

Salut FMaz,

1) depuis PHP 5 cette fonction est par défaut activé et a été supprimé dans PHP 6.
2) On peut lire ceci dans http://www.php.net/manual/fr/security.magicquotes.what.php

Citation:

---

Envoyé par php.net

magic_quotes_gpc Affecte les données issues des requêtes HTTP (GET, POST, et COOKIE)

---

Citation:

---

Envoyé par FMaz

Bonjour l'ami ! :)


Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()

---

Ah bon mon Ami, et si j'écris mon texte dans un fichier texte je fais quoi :D

Salut :)

Je suis pas trop sur de voir où tu veux en venir:

Code:

---

1 2 3 4 5 6 7 8 9

if (!get_magic_quotes_gpc()) { $lastname = addslashes($_POST['lastname']); } else { $lastname = $_POST['lastname']; }   echo $lastname; // O\'reilly $sql = "INSERT INTO lastnames (lastname) VALUES ('$lastname')";

---

Cet exemple me fait vraiment dire qu'il s'agit d'une insertion dans une base de données, et non d'une écriture dans un fichier texte.

Et dans le cas des insertions dans des bases de données, on peut lire ceci sur le site de PHP, dans les commentaires à propos de addslashes():

Citation:

---

addslashes does NOT make your input safe for use in a database query! It only escapes according to what PHP defines, not what your database driver defines. Any use of this function to escape strings for use in a database is likely an error - mysql_real_escape_string, pg_escape_string, etc, should be used depending on your underlying database as each database has different escaping requirements. In particular, MySQL wants \n, \r and \x1a escaped which addslashes does NOT do. Therefore relying on addslashes is not a good idea at all and may make your code vulnerable to security risks. I really don't see what this function is supposed to do.

---

Et ceci, toujours sur le site de php, dans la définition de mysql_real_escape_string():

Citation:

---

This function must always (with few exceptions) be used to make data safe before sending a query to MySQL.

---

J'espère pas trop vous avoir tué avec de l'anglais :aie:

Citation:

---

Envoyé par FMaz

Salut :)
Je suis pas trop sur de voir où tu veux en venir:

---

Juste tu m'avais écris cela

Pour, addslashes, grave erreur, la fonction protège très mal les données, il faut privilégier mysql_real_escape_string()


Alors pensant au cas general je me disais que lorsqu' il sagit d'écrire dans un fichier texte (CE QUI N EST PAS LE CAS ICI) mais enfin dans tout les cas ou on écrit en files il faut bien utiliser addslashes et il est trés trés bien :D