問題タブ [magic-quotes]

私は PHP のマジック クォートの逸脱を完全に認識していますmagic_quotes_runtime。php.ini から:

SQL からのデータ、exec() からのデータなど、実行時に生成されたデータのマジック クォート。

オンになっているかどうかを確認し、次のようにしてオフにする必要があります。

デフォルトでオンになっていることが多いですか？5.3.0 で廃止され、6.0.0 で削除されたことは知っていますが、私のスクリプトは 5.1.0 以降をサポートしているため、「レガシー」PHP でこれを処理する方法を知りたいです (関連する場合)。

編集：明確にするために、私は終了したいです（「魔法の引用符をオフにする」）; 魔法の引用符がオンのとき。私は彼らに頼っていません！

私は会社のレガシー Web アプリケーションの 1 つに割り当てられました。ソースを 1 日か 2 日調べてみたところ、次のような SQL インジェクション ベクトルが見つかりました。

これに対して SQL インジェクション テストを実行しようとしましたが、PHP のmagic_quotes_gpcモジュールがオンになっているために失敗します。

magic_quotes_gpcがdirtyであることはわかっていますが、上記のようなコードは数千行とは言わないまでも数百行あります。magic_quotes_gpcこのようなコードは攻撃に対して無防備なままになるため、スイッチをオフにするわけにはいきません。

上記のコードがどの程度「悪用可能」であるか、すぐに修正する必要があるのか​​、それとも修正作業を他のリファクタリング タスクに含める必要があるのか​​を知りたいです。

ご存じのように、マジック クォートがオンの場合、単一引用符は値とキーでエスケープされます。実行時にマジック クォートを削除するほとんどのソリューションは、キーではなく値のみをエスケープします。キーと値をエスケープ解除するソリューションを探しています...

PHP.netでこのコードを見つけました：

しかし、過去にこのようなバグが発生したため、「&」参照と配列は好きではありません...

実行時にマジック クォート (キーと値) をエスケープ解除する「より良い」方法は、上記のものよりありますか?

PHPを使用してMySQLデータベースにフォームを送信しています。

関数を介してフォームデータを送信していmysql_real_escape_string($content)ます。

エントリがデータベースに表示されると（phpMyAdminをチェックイン）、すべての二重引用符と一重引用符がエスケープされます。

これはPHP構成の問題だと私はかなり確信していますか？

それで：

私のデータベースに次のように表示されます：

こんにちは、私の名前はジャシャです。私の「好きな」ことは睡眠です。

誰に何をすればいいですか？（php.iniにアクセスできません）。

magic_quotes電源を入れて使用した場合mysql_real_escape_string、文字列は二重にエスケープされますか？問題が発生しますか？

機能に基づいてそう思いget_magic_quotes()ますが、確認を求めているだけです。

（PSこの質問をするのは、私たちが持っているすべてのセキュリティを備えた私のオフィスでテストするよりも簡単です-使用可能な環境を取得するためにすべてを構成するのに10〜15かかります）

したがって、基本的に、John's bike のようにアポストロフィを付けて入力すると、John\'s bike がエコーされます。以下のコード：

私のフォームは POST メソッドを使用しています。これを止める方法はありますか？

また、入力の大文字と小文字を区別しないようにするには、このセグメントでどのようにすればよいでしょうか?

I have a html form where visitors can fill and send me some information, as an e-mail. It sends like this:

When they write abc'def I get abc\'def

What is this additional \? How I can prevent it?

文字列を受け取り、適切なエスケープ文字で引用符を付けてレンダリングする無料の Web サイトまたはプログラムを知っている人はいますか?

たとえば、私が引用したいとしましょう

そして、それが一重引用符または二重引用符で囲まれるかどうかを指定したいと思います. バックスラッシュ以外のエスケープ文字は個人的には気にしませんが、他の可能性があります。

クライアントから提供された JSON データを読み取る PHP スクリプトがあります。提供された JSON データには、単一の「スマート クォート」が含まれていました。

例：

私のスクリプトでは、json データを取得するために小さな関数を使用しています。

データをutf8でエンコードすると、エコーアウトすると、引用符があるべき場所に何も表示されません。データを utf8 でエンコードしないと、エコーアウトすると変な疑問符記号が表示されます .</p>

適切なキャラクターを実際に見る方法について何か考えはありますか??

ありがとう！

php.iniでmagic_quotesを無効にしました。

しかし、私はまだ私のフォームでエスケープされた文字列を取得します。

注：これはWordpressのテーマで実行しています。