ich kapiers nicht mehr

[Vanse]

aus gründen der sicherheit befasse ich mich mit addslashes.
in der php.ini ist
magic_quotes_gpc = On
aber wenn ich zum test die zeichen " ' etc. nehme dann werden die ohne \ in die db eingetragen. sollte ja nicht so sein oder??

nun habe ich folgenden schnipsel ins script kopiert:

if (get_magic_quotes_gpc()) {
    // Rückwärtsstriche in Browservariablen einfügen
    foreach ($_GET as $key => $value) {
        $_GET[$key] = addslashes($value);
    }
    foreach ($_POST as $key => $value) {
        $_POST[$key] = addslashes($value);
    }
    foreach ($_COOKIE as $key => $value) {
        $_COOKIE[$key] = addslashes($value);
    }
} 

auf diese weise funktioniert es dann und der \ wird den zeichen vorangestellt wobei das eigentlich auf if(!get_magic....) stehen sollte um die sache zu aktivieren wenn auf dem server magic_quotes_gpc=Off eingestellt ist.
kann mir jemand erklären warum wieso weshalb?

[Abraxax]

get_magic_quotes_gpc() gibt true bei gesetzt und false bei nicht gesetzt zurück.

du machst das addslashes immer dann, wenn es sowieso schon da ist. das bringt dir also gar nichts...

mache es so:

if (!get_magic_quotes_gpc())
{
    // hier addslashes aufrufen.
} 

man achte auf das negierte.

[Vanse]

ja, wenn es auf "on" steht und ich zusätzlich if(get..) habe würde ich zusätzlich ein addslash machen wo schon einer ist. aber wenn ich if(!get...) benutze dann passiert rein garnix obwohl magic.. auf "on" steht.

[Abraxax]

das ist ja auch der sinn, dass nichts passieren soll wenn MQ=on ist. denn das hat das php schon für dich gemacht.

du musst/darfst es nur machen, wenn MQ=off ist.

[Vanse]

kann es sein das ich dich nun auch verwirrt habe?
ich habe MQ=on in der php.ini und wenn ich den obrigen code nicht ausführe dann passiert nichts. will heissen wenn der code nicht im script ist und MQ=on dann werden keine \ angehängt. sollte aber doch so sein wenn es "on" ist.

[Abraxax]

ES BRAUCHEN KEINE ZUSÄTZLICHEN \ IN DIE EINGABE REIN, WENN MQ=ON IST!!!

DAS MACHT PHP FÜR DICH.

also wird auch nicht in die if gesprungen, wenn MQ=on ist, sondern nur bei MQ=off

schaue mal in meiner sig nach dem guestbook und lies den thread.

[Vanse]

dann würd ichs aber auch sehen können oder? zum beispiel wenn ich die variablen ohne stripslashes ausgebe oder wenn ich einfach in die datenbank schau...
dem ist aber definitiv nicht so

[Abraxax]

in der DB wirst du es nicht sehen...

aber bei der ausgabe mit htmlentities() kannst du es sehen.

[Vanse]

achso...
dann muss ich mir da eigentlich garkeine sorgen machen wenn benutzer so sachen wie " oder ' etc. benutzen und brauch auch kein zusätzliches add oder stripslashes benutzen wenn MQ=on ist?

[Abraxax]

add brauchst/darfst du bei MQ=on nicht machen. das passiert nur bei MQ=off

und strip machst du IMMER bei ausgaben.

[Vanse]

der erste satz erfreut mich, der zweite eher weniger.
danke für die info und sorry für die nerverei

[Vanse]

öhm, nochmal ne frage...
wenn ein user in ein formular zb. " Heute funktioniert "nicht" viel " eingibt und ich dann später im script den satz aus der db hole müsste ich doch stripslashes benutzen um den satz ohne \ anzuzeigen oder?

[Abraxax]

Original geschrieben von Abraxax
und strip machst du IMMER bei ausgaben.

[Vanse]

naja, dann stimmt da was nicht. denn wenn ich ohne stripslashes arbeite wird mir trotzdem der richtige text angezeigt. also kann da wohl doch etwas nicht stimmen

[Abraxax]

und htmlentities() solltest du grundsätzlich auch verwenden.

dann siehst du auch den unterschied zwischen strip und !strip.