php stripslashes和addslashes的区别

我们在向mysql写入数据时，比如：

代码如下:

mysql_query("update table set `title`='kuhanzhu's blog'");

那就会出错。同asp时一样，数据库都会对单引号过敏。而addslashes在这个时候就最长面子了，跟asp的replace(”‘”,”””,”kuhanzhu's blog”)功能一样。

PHP为了安全性，所以引入了个magic_quotes_gpc = On的功能，可以不需要做任何处理就能直接把单引号插入数据库中，那么对于Off时，则需要考虑单引号的问题了，而不是一味地信任运行环境。

当magic_quotes_gpc = On时，使用了addslashes()处理后的数据在数据库中将以\'形式保存，如果此时直接输出的话，就会发现比自己期待的内容多了个\，因此stripslashes()出场了，它能把\去掉（区别于str_replace(”\”, “”,$Str)）。

当magic_quotes_gpc = Off时，使用了addslashes()处理后的数据在数据库中将以'形式保存，没有上面说的有\的问题，addslashes()起到插入数据不出错的作用，如果此时直接输出的话，数据正常。不需要再用stripslashes()。

addslashes()和stripslashes()正好是相反的，直接记忆：addslashes()加个\，stripslashes()去个\

那么什么时候用呢？

简单说：

当magic_quotes_gpc = On时，系统会自动处理单引号等问题，用不用addslashes()和stripslashes()都没关系，但是如果添加数据时用了addslashes()，那么显示数据时必须要stripslashes()

当magic_quotes_gpc = Off时，系统不会处理单引号等问题，所以插入数据时必须要使用addslashes()，显示数据时则不需要使用stripslashes()。

既然有了分析，做程序时要怎么办呢？根据以上两种情况，可得：

不管magic_quotes_gpc是On还是Off，咱添加数据时都用addslashes()，当On时，必须使用stripslashes()，Off时则不能用stripslashes()。

如何判断On还是Off呢？用get_magic_quotes_gpc()。

最后举例：

代码如下:

代码
//提交数据，或者变量准备：
$Content=addslashes(”这里面是数据，不管有没单引号或者还是变量”);
//插入数据到数据库，代码省略
//开始显示数据
$Content=”从数据库读取的数据”;
if(get_magic_quotes_gpc()){
  $Content=stripslashes($Content);
}
echo $Content;

赞 (0)

相关推荐

  • php daddslashes()和 saddslashes()有哪些区别分析

    //GPC过滤,自动转义$_GET,$_POST,$_COOKIE中的特殊字符,防止SQL注入攻击 $_GET = saddslashes($_GET); $_POST = saddslashes($_POST); 复制代码 代码如下: 下面是daddslashes()和 saddslashes()的例子eg: saddslashes function daddslashes($string, $force = 0, $strip = FALSE) { //字符串或数组 是否强制 是否去除 //

  • php中addslashes函数与sql防注入

    本文实例讲述了php中addslashes函数与sql防注入.分享给大家供大家参考.具体分析如下: addslashes可会自动给单引号,双引号增加\\\\\\,这样我们就可以安全的把数据存入数据库中而不黑客利用,参数'a..z'界定所有大小写字母均被转义,代码如下: 复制代码 代码如下: echo addcslashes('foo[ ]','a..z'); //输出:foo[ ] $str="is your name o'reilly?"; //定义字符串,其中包括需要转义的字符 e

  • php addslashes及其他清除空格的方法是不安全的

    清除空格的方法是不安全的,部分原因是因为字符中的空格非常多,例如 "addslashes的问题在 于黑客 可以用0xbf27来代替单引号,而addslashes只是将0xbf27修改为0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会 被看作是单引号,所以addslashes无法成功拦截." 最好是按照具体的参数需求校验确定是 int 等不是,外加数据库的参数操作方法.其实这个是数据库的 sql 问题,应该从源头数据库本身来解决,只不过有些数据库滑提供相应的方法罢了.

  • 解析php addslashes()与addclashes()函数的区别和比较

    PHP addcslashes() 函数定义和用法addcslashes() 函数在指定的字符前添加反斜杠.语法addcslashes(string,characters)参数 描述 string 必需.规定要检查的字符串. characters 可选.规定受 addcslashes() 影响的字符或字符范围. 提示和注释注释:在对 0,r,n 和 t 应用 addcslashes() 时要小心.在 PHP 中,\0,\r,\n 和 \t 是预定义的转义序列.实例例子 1在本例中,我们要向字符串

  • PHP中addslashes与mysql_escape_string的区别分析

    本文实例分析了PHP中addslashes与mysql_escape_string的区别.分享给大家供大家参考,具体如下: 1.在插入数据时两者的意义基本一样.区别只在于addslashes 在magic_quotes_sybase=on时将" '"转换成" ' '" 在magic_quotes_sybase=off时将" '"转换成"\ '" 而mysql_escape_string总是将" '"转换成&

  • php addslashes 函数详细分析说明

    语法: string addslashes(string str); 内容说明 本函数使需要让数据库处理的字符串中引号的部份加上斜线,以供数据库查询 (query) 能顺利运作.这些会被改的字符包括单引号 (').双引号 (").反斜线 backslash (\) 以及空字符 NUL (the null byte). ================================================================ 1,表单提交中addslashes的表现. 首先要

  • PHP中使用addslashes函数转义的安全性原理分析

    本文实例讲述了PHP中使用addslashes函数转义的安全性原理分析.分享给大家供大家参考.具体分析如下: 先来看一下ECshop中addslashes_deep的原型 复制代码 代码如下: function addslashes_deep($value) {     if (empty($value)) {         return $value;  //如为空,直接返回;     } else {         return is_array($value) ? array_map(

  • PHP函数addslashes和mysql_real_escape_string的区别

    首先:不要使用mysql_escape_string,它已被弃用,请使用mysql_real_escape_string代替它. mysql_real_escape_string和addslashes的区别在于: 区别一: addslashes不知道任何有关MySQL连接的字符集.如果你给所使用的MySQL连接传递一个包含字节编码之外的其他编码的字符串,它会很愉快地把所有值为字符'.".\和\x00的字节进行转义.如果你正在使用不同于8位和UTF-8的其它字符,这些字节的值不一定全部都是表示字符

  • php addslashes和mysql_real_escape_string

    很好的说明了addslashes和mysql_real_escape_string的区别,虽然国内很多PHP coder仍在依靠addslashes防止SQL注入(包括我在内),我还是建议大家加强中文防止SQL注入的检查.addslashes的问题在于黑客可以用0xbf27来代替单引号,而addslashes只是将0xbf27修改为0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会被看作是单引号,所以addslashes无法成功拦截. 当然addslashes也不是毫无用处,它是

  • php stripslashes和addslashes的区别

    我们在向mysql写入数据时,比如: 复制代码 代码如下: mysql_query("update table set `title`='kuhanzhu's blog'"); 那就会出错.同asp时一样,数据库都会对单引号过敏.而addslashes在这个时候就最长面子了,跟asp的replace("'",""","kuhanzhu's blog")功能一样. PHP为了安全性,所以引入了个magic_quotes

  • PHP关于htmlspecialchars、strip_tags、addslashes的解释

    PHP的htmlspecialchars.strip_tags.addslashes是网页程序开发中常见的函数,今天就来详细讲述这些函数的用法: 1.函数strip_tags:去掉 HTML 及 PHP 的标记 注意:本函数可去掉字串中包含的任何 HTML 及 PHP 的标记字串.若是字串的 HTML 及 PHP 标签原来就有错,例如少了大于的符号,则也会传回错误.而本函数和 fgetss() 有着相同的功能.fgetss是从文件中读取文件,并去掉html和php标记. 2.函数htmlspec

  • PHP开发中常见的安全问题详解和解决方法（如Sql注入、CSRF、Xss、CC等）

    浅谈Php安全和防Sql注入,防止Xss攻击,防盗链,防CSRF 前言: 首先,笔者不是web安全的专家,所以这不是web安全方面专家级文章,而是学习笔记.细心总结文章,里面有些是我们phper不易发现或者说不重视的东西.所以笔者写下来方便以后查阅.在大公司肯定有专门的web安全测试员,安全方面不是phper考虑的范围.但是作为一个phper对于安全知识是:"知道有这么一回事,编程时自然有所注意". 目录: 1.php一些安全配置(1)关闭php提示错误功能(2)关闭一些"坏

  • php插入含有特殊符号数据的处理方法

    发现问题 当我们在向mysql写入数据时,如果数据中有特殊字符就会出现数据无法正常入库的情况,比如: mysql_query("update table set `name`='make's'"); 而这个时候一般就是使用addslashes()这个函数来转义数据中的特殊字符 处理方法 PHP为了安全性,所以引入了个magic_quotes_gpc = On的功能,可以不需要做任何处理就能直接把单引号插入数据库中,那么对于Off时,则需要考虑单引号的问题了,而不是一味地信任运行环境.

  • PHP中常用的转义函数

    1. addslashes addslashes对SQL语句中的特殊字符进行转义操作,包括('), ("), (), (NUL)四个字符,此函数在DBMS没有自己的转义函数时候使用,但是如果DBMS有自己的转义函数,那么推荐使用原装函数,比如MySQL有mysql_real_escape_string函数用来转义SQL. 注意在PHP5.3之前,magic_quotes_gpc是默认开启的,其主要是在$GET, $POST, $COOKIE上执行addslashes操作,所以不需要在这些变量上重

  • PHP中addslashes()和stripslashes()实现字符串转义和还原用法实例

    本文实例讲述了PHP中addslashes()和stripslashes()实现字符串转义和还原用法.分享给大家供大家参考,具体如下: PHP中addslashes() 函数返回在预定义字符之前添加反斜杠的字符串. 预定义字符是: 单引号(') 双引号(") 反斜杠(\) NULL stripslashes() 函数删除由 addslashes() 函数添加的反斜杠. 用法示例如下: <?php $str="select * from `book` where bookname=

  • php 反斜杠处理函数addslashes()和stripslashes()实例详解

    php 反斜杠处理函数 addslashes():对输入字符串中的某些预定义字符前添加反斜杠,这样处理是为了数据库查询语句等的需要.这些预定义字符是:单引号 (') ,双引号 (") ,反斜杠 (\) ,NULL. stripslashes():删除由 addslashes() 函数添加的反斜杠.该函数用于清理从数据库或 HTML 表单中取回的数据.(若是连续二个反斜杠,则去掉一个,保留一个:若只有一个反斜杠,就直接去掉.) 默认情况下,PHP 指令 magic_quotes_gpc 为 on,

随机推荐