Verständnisfrage

Einklappen
X
 
  • Filter
  • Zeit
  • Anzeigen
Alles löschen
neue Beiträge

  • Verständnisfrage

    Hi,

    ich hatte vor einigen Monaten schonmal ne ganze Menge über PHP gelernt und damals ein Registrierungsformular geschrieben, welches mit PHP und SQL verarbeitet wurde. Jetzt nach so vielen Monat ist mir ehrlich gesagt vollkommen unklar, warum ich nach der Übergabe des Arrays $_POST an das PHP Dokument erstmal das hier mache, bevor ich die Daten benutze:

    PHP-Code:
    if(get_magic_quotes_gpc()) 
        {        
        foreach(
    $_POST AS $key => $value)
            {
            
    $_POST[$key] = stripslashes($value);
            }   
        } 
    Kannst mir gerade mal wer erklären?
    -Am Anfang war das Wort-

    Ich habe fertig mit Abi ^^

  • #2
    Du entfernst die magic_quotes.
    Die Regeln | rtfm | register_globals | strings | SQL-Injections | [COLOR=silver][[/COLOR][COLOR=royalblue]–[/COLOR][COLOR=silver]][/COLOR]

    Kommentar


    • #3
      Warum entferne ich die denn XD ?? So weit ich das sehe habe ich gar keien eingefügt. Welche funktionen sollte das $_POST Array denn alles durchlaufen bevor ich sie sicher 1. mit PHP und 2. mit SQL nutze ?
      -Am Anfang war das Wort-

      Ich habe fertig mit Abi ^^

      Kommentar


      • #4
        PHP-Code:
        if(get_magic_quotes_gpc()) { // prüfen ob magic_quotes gesetzt werden
           
        foreach($_POST AS $key => $value) { // $_POST durchgehen
              
        $_POST[$key] = stripslashes($value); // magic_quotes entfernen
           
        }

        magic_quotes heißt übrigens das PHP automatisch Backslashes für bestimmte Zeichen hinzufügt - aber das hast du ja sicherlich schon in der Manual nachgelesen. Du entfernst sie, weil sie sonst mit in die Datenbank eingetragen werden würden.
        Die Regeln | rtfm | register_globals | strings | SQL-Injections | [COLOR=silver][[/COLOR][COLOR=royalblue]–[/COLOR][COLOR=silver]][/COLOR]

        Kommentar


        • #5
          Ist das nicht doof? Dann muss ich sie ja wieder einfügen, wenn ich die Daten wieder benutzen muss, denn die Zeichen müssen zur Benutzung in PHP escaped sein , oder?
          -Am Anfang war das Wort-

          Ich habe fertig mit Abi ^^

          Kommentar


          • #6
            Original geschrieben von Lexus_Ks
            Ist das nicht doof? Dann muss ich sie ja wieder einfügen, wenn ich die Daten wieder benutzen muss, denn die Zeichen müssen zur Benutzung in PHP escaped sein , oder?
            Nein, die Daten müssen für die "Benutzung in PHP" selbstverständlich nicht escaped sein.

            Escapen musst du sie, wenn du sie in einen anderen Kontext überführst.
            Für den Kontext einer MySQL-Query bspw. nutzt du dafür mysql_real_escape_string (was wir hier übrigens schon x-fach besprochen haben).
            I don't believe in rebirth. Actually, I never did in my whole lives.

            Kommentar


            • #7
              Häh? Dann habe ich escapen wohl 100% falsch verstanden. Ich dachte immer man escaped, damit man etwas als Text per echo ausgeben kann !?
              -Am Anfang war das Wort-

              Ich habe fertig mit Abi ^^

              Kommentar


              • #8
                Nein, ein Beispiel: Du hast ein Suchformular mit dem man in der Datenbank suchen kann. Jemand gibt ein " OR 1 = 1, mit mysql_real_escape_string steht dann letztendlich in der Query SELECT .... WHERE "\" OR 1 = 1", der SQL-Parser übergeht jetzt das escapte Zeichen und sucht nach dem nächsten Anführungszeichen. (siehe auch Escape-Squenz, bzw. Maskierungszeichen)
                Zuletzt geändert von tontechniker; 27.07.2007, 10:40.
                Die Regeln | rtfm | register_globals | strings | SQL-Injections | [COLOR=silver][[/COLOR][COLOR=royalblue]–[/COLOR][COLOR=silver]][/COLOR]

                Kommentar


                • #9
                  Ah klasse, das habe ich jetzt gecheckt XD Danke
                  -Am Anfang war das Wort-

                  Ich habe fertig mit Abi ^^

                  Kommentar


                  • #10
                    Original geschrieben von Lexus_Ks
                    Ich dachte immer man escaped, damit man etwas als Text per echo ausgeben kann !?
                    Das Wort Kontext ist wichtig ...


                    Nehmen wir an, es geht um den Text:
                    Code:
                    "Hallo, du 'Held'", sagte sie.
                    Wenn du den im Kontext eines PHP-Scriptes notieren willst, musst du natürlich escapen, entweder die Anführungszeichen oder die Hochkommata - du befindest dich schliesslich im Kontext des PHP-Parsers, der das ganze verstehen, der Syntax gerecht interpretieren können muss, und dafür wissen muss, wo der String anfängt und aufhört.

                    Wenn du den Wert aber per GET/POST/COOKIE/sonstwas übergeben bekommst oder einliest - dann natürlich nicht. Dann befindest du dich ja nicht mehr im Kontext "PHP-Parser".
                    I don't believe in rebirth. Actually, I never did in my whole lives.

                    Kommentar

                    Lädt...
                    X