Verständnisfrage

[Lexus_Ks]

Hi,

ich hatte vor einigen Monaten schonmal ne ganze Menge über PHP gelernt und damals ein Registrierungsformular geschrieben, welches mit PHP und SQL verarbeitet wurde. Jetzt nach so vielen Monat ist mir ehrlich gesagt vollkommen unklar, warum ich nach der Übergabe des Arrays $_POST an das PHP Dokument erstmal das hier mache, bevor ich die Daten benutze:

if(get_magic_quotes_gpc()) 
    {        
    foreach($_POST AS $key => $value)
        {
        $_POST[$key] = stripslashes($value);
        }   
    } 

Kannst mir gerade mal wer erklären?

[tontechniker]

Du entfernst die magic_quotes.

[Lexus_Ks]

Warum entferne ich die denn XD ?? So weit ich das sehe habe ich gar keien eingefügt. Welche funktionen sollte das $_POST Array denn alles durchlaufen bevor ich sie sicher 1. mit PHP und 2. mit SQL nutze ?

[tontechniker]

if(get_magic_quotes_gpc()) { // prüfen ob magic_quotes gesetzt werden
   foreach($_POST AS $key => $value) { // $_POST durchgehen
      $_POST[$key] = stripslashes($value); // magic_quotes entfernen
   }
} 

magic_quotes heißt übrigens das PHP automatisch Backslashes für bestimmte Zeichen hinzufügt - aber das hast du ja sicherlich schon in der Manual nachgelesen. Du entfernst sie, weil sie sonst mit in die Datenbank eingetragen werden würden.

[Lexus_Ks]

Ist das nicht doof? Dann muss ich sie ja wieder einfügen, wenn ich die Daten wieder benutzen muss, denn die Zeichen müssen zur Benutzung in PHP escaped sein , oder?

[wahsaga]

Original geschrieben von Lexus_Ks
Ist das nicht doof? Dann muss ich sie ja wieder einfügen, wenn ich die Daten wieder benutzen muss, denn die Zeichen müssen zur Benutzung in PHP escaped sein , oder?

Nein, die Daten müssen für die "Benutzung in PHP" selbstverständlich nicht escaped sein.

Escapen musst du sie, wenn du sie in einen anderen Kontext überführst.
Für den Kontext einer MySQL-Query bspw. nutzt du dafür mysql_real_escape_string (was wir hier übrigens schon x-fach besprochen haben).

[Lexus_Ks]

Häh? Dann habe ich escapen wohl 100% falsch verstanden. Ich dachte immer man escaped, damit man etwas als Text per echo ausgeben kann !?

[tontechniker]

Nein, ein Beispiel: Du hast ein Suchformular mit dem man in der Datenbank suchen kann. Jemand gibt ein " OR 1 = 1, mit mysql_real_escape_string steht dann letztendlich in der Query SELECT .... WHERE "\" OR 1 = 1", der SQL-Parser übergeht jetzt das escapte Zeichen und sucht nach dem nächsten Anführungszeichen. (siehe auch Escape-Squenz, bzw. Maskierungszeichen)

[Lexus_Ks]

Ah klasse, das habe ich jetzt gecheckt XD Danke

[wahsaga]

Original geschrieben von Lexus_Ks
Ich dachte immer man escaped, damit man etwas als Text per echo ausgeben kann !?

Das Wort Kontext ist wichtig ...


Nehmen wir an, es geht um den Text:

"Hallo, du 'Held'", sagte sie.

Wenn du den im Kontext eines PHP-Scriptes notieren willst, musst du natürlich escapen, entweder die Anführungszeichen oder die Hochkommata - du befindest dich schliesslich im Kontext des PHP-Parsers, der das ganze verstehen, der Syntax gerecht interpretieren können muss, und dafür wissen muss, wo der String anfängt und aufhört.

Wenn du den Wert aber per GET/POST/COOKIE/sonstwas übergeben bekommst oder einliest - dann natürlich nicht. Dann befindest du dich ja nicht mehr im Kontext "PHP-Parser".