set_magic_quotes_runtime(0|1) 和 magic_quotes_gpc 和 addslashes() 和 stripslashes()

 

引用：http://www.qianyunlai.com/blog/615.html

 

 

 　　在php.ini的配置文件中，有个布尔值的设置，就是magic_quotes_runtime,当它打开时，php的大部分函数自动的给从外部引入的(包括数据库或者文件)数据中的溢出字符加上反斜线。

　　当然如果重复给溢出字符加反斜线，那么字符串中就会有多个反斜线，所以这时就要用set_magic_quotes_runtime()与get_magic_quotes_runtime()设置和检测php.ini文件中magic_quotes_runtime状态。

　　为了使自己的程序不管服务器是什么设置都能正常执行。可以在程序开始用get_magic_quotes_runtime()检测设置状态就决定是否要手工处理，或者在开始（或不需要自动转义的时候）用set_magic_quotes_runtime(0)关掉。

　　magic_quotes_gpc设置是否自动为GPC(get,post,cookie)传来的数据中的'"\加上反斜线。可以用get_magic_quotes_gpc()检测系统设置。如果没有打开这项设置，可以使用addslashes()函数添加，它的功能就是给数据库查询语句等的需要在某些字符前加上了反斜线。这些字符是单引号（'）、双引号（"）、反斜线（\）与 NUL（NULL 字符）。

 

 

 

当你的数据中有一些
\
"
'
这样的字符要写入到数据库里面，又想不被过滤掉的时候，它就很有用，会在这些字符前加上\

中国\地大物博"哈哈"

中国\\地大物博\"哈哈\"

可以使用set_maginc_quotes_runtime(0)关闭掉，当然你也可以直接在php.ini中设置

get_magic_quotes_runtime() 取得 PHP 环境变量 magic_quotes_runtime 的值。 

magic_quotes_gpc 为 on，它主要是对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。不要对已经被 magic_quotes_gpc 转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数get_magic_quotes_gpc() 进行检测。

 

...................两者不同

 

　　set_magic_quotes_runtime() 可以让程序员在代码中动态开启或关闭 magic_quotes_runtime，
set_magic_quotes_runtime(1) 表示开启，set_magic_quotes_runtime(0) 则表示关闭。当set_magic_quotes_runtime(1) 时，从数据库或通过fread之类的函数读取的文本，将自动对’ “和\自动加上反斜杠\进行转义，防止溢出。这在对数据库的数据进行转移的时候非常有用。但在一般情况下，应当将其关闭，否则从数据库读取出来的数据单引号、双引号和反斜杠都会被加上\，导致显示不正常。像Discuz，PHPWind都在公共文件的头部加上一句 set_magic_quotes_runtime(0); 强制关闭 magic_quotes_runtime 。

magic_quotes_gpc
作用范围是：ＷＥＢ客户服务端；
作用时间：请求开始是，例如当脚本运行时．

magic_quotes_runtime
作用范围：从文件中读取的数据或执行exec()的结果或是从ＳＱＬ查询中得到的；
作用时间：每次当脚本访问运行状态中产生的数据．

所以

magic_quotes_gpc的设定值将会影响通过Get/Post/Cookies获得的数据
magic_quotes_runtime的设定值将会影响从文件中读取的数据或从数据库查询得到的数据

magic_quotes_gpc 是对通过GET、POST、COOKIE传递的数据进行转义，一般在数据入库前要先进行转义，
magic_quotes_gpc不能在代码中动态开启或关闭，需要到php.ini将magic_quotes_gpc设置为on或off，
代码中可以用get_magic_quotes_gpc获取magic_quotes_gpc的状态。
当magic_quotes_gpc为off时，需要手工对数据进行addslashes，代码如下：

 

代码

  if  ( ! get_magic_quotes_gpc ()) {   
       add_slashes( $_GET );   
     add_slashes( $_POST );   
    add_slashes( $_COOKIE );   
 }   
 
  function  add_slashes( $string ) {   
     if  ( is_array ( $string )) {   
          foreach  ( $string   as   $key   =>   $value ) {   
             $string [ $key ]  =  add_slashes( $value );   
         }   
     }  else  {   
         $string   =   addslashes ( $string );   
     }   
      return   $string ;   
 }

 

 

 

.

 

 

经验总结：

 

一、对于GPC,不管系统有没有开启magic_quotes_gpc（即php.ini中magic_quotes_gpc = On），我们统一开启 magic_quotes_gpc，对get，post，cookie的内容进行转义。操作如下：
     （摘自uchome系统）

  

代码

function  saddslashes( $string ) {
     if ( is_array ( $string )) {
         foreach ( $string   as   $key   =>   $val ) {
             $string [ $key ]  =  saddslashes( $val );
        }
    }  else  {
         $string   =   addslashes ( $string );
    }
     return   $string ;
}


// 05GPC过滤
$magic_quote   =   get_magic_quotes_gpc ();
if ( empty ( $magic_quote )) {
     $_GET   =  saddslashes( $_GET );
     $_POST   =  saddslashes( $_POST );
}

// 09COOKIE //给cookie值转义
$prelength   =   strlen ( $_SC [ ' cookiepre ' ]);
foreach ( $_COOKIE   as   $key   =>   $val ) {
     if ( substr ( $key ,   0 ,   $prelength )  ==   $_SC [ ' cookiepre ' ]) {
         $_SCOOKIE [( substr ( $key ,   $prelength ))]  =   empty ( $magic_quote )  ?  saddslashes( $val )  :   $val ;
    }
}

 

 

二、对于magic_quotes_runtime，我们统一关闭它，即set_magic_quotes_runtime(0)；不让从数据库读取出来的数据的单引号、双引号和反斜杠都自动被加上\。这样，对数据库的操作如下：添加数据到数据库之前，我们手动对数据进行addslashes(),而从数据库取出数据时，则作相反操作，即stripslashes()。

三、对于要序列化的内容，要保持裸数据，即要去掉转义，stripslashes(),然后在把序列化过的内容保存到数据库当中（注意，序列化过的内容是不带单引号（'）、双引号（"）、反斜线（\）的），示例如下：
  

$feedarr [ ' body_data ' ]  =   serialize ( stripslashes ( $body_data ));