php魔术引号使用分析

PHP之安全在于其默认配置php.ini-dist中具备一个magic_quotes_gpc = On的东西，叫“魔术引号（Magic Quote）”，对PHP初学者很有用，“尽管SQL注入在魔术引号打开的情况下仍然有可能实现，但起码系统的风险减少很多了”（PHP手册）。但是对于 PHP代码的移植性却造成了影响，而且并不是每一个被魔术引号转义的数据都需要写入数据库，这样就对程序的执行效率造成了影响，倒不如使用 addslashes()，所以在
php.ini-recommended中magic_quotes_gpc = Off。

这里用一段函数来判断是否打开了magic_quotes_gpc，然后确定是否需要addslashes()，当然，这样做可能效率会受到影响。

PHP系统配置文件php.ini中有三个魔术引号配置选项：

从上表可以看出，对于magic_quotes_runtime，在程序中用 ini_set(magic_quotes_runtime, 0);就可以把它关掉，然后可以用自己的方法来处理来自数据库或文件的数据。 　　

但是要处理外部传来的全局变量就比较麻烦了。下面的代码可供使用，这里将屏蔽magic_quotes_sy ，只是将引号之类的东西前面加上反斜线（），用于提交给MySql数据库。

<?php
if (is_null($_GET[\"search\"])) {
    echo \'<form method=\"\'.htmlentities($_SERVER[\"PHP_SELF\"]).\'\" method=\"GET\">\';
    echo \'    <label>\';
    echo \'       Search:\';
    echo \'       <input type=\"text\" name=\"search\" id=\"search\" />\';
    echo \'    </label>\';
    echo \'    <input type=\"submit\" value=\"Go!\" />\';
    echo \'</form>\';
    } else {
    $search = $_GET[\"search\"];

    if (!get_magic_quotes_gpc(  )) {
        $search = htmlentities($search);
    }
    if ($search != NULL ){
        echo \"The search string is: <strong>$search</strong>.\";
    }
}
?>