quote_smart - stripslash etterpå?

[Beethoven]

Hei. Hvis jeg bruker mysql_escape_string_real(), må jeg bruke stripslash etterpå da? Hvis det er noe som får seg en smekk?

[Ultrag]

Det heter mysql_real_escape_string() og nei, det er nok ikke nødvendig med begge to. Faktisk vil du vel motvirke effekten siden du fjerner \ ?

[fredeil]

Det er unødvendig med begge deler, jeg anbefaler og lage en funksjon.

 

<?php

function secure($str)
{
   $str = mysql_real_escape_string($str);
}
?>

 

Så bruker du bare secure($string);.

Istede for og skrive mysql_real_escape_string($string);

[Ernie]

Uhhm ... Den skjønte jeg ikke helt. Funksjon som bare kjører en annen funksjon?

Endret 24. desember 2005 av Ernie

[fredeil]

Ja, for og ikke skrive lange ; mysql_real_escape_string();. Ikke noe mere !

[Beethoven]

Hmm.. kanskje jeg har misforstått nå. Men... hvis jeg kjører mysql_real_escape_string.. også blir noe quote. Må jeg da kjøre stripslashes på det jeg henter ut? Eller forsvinner \ fra det jeg tar ut? Og en annen ting... trenger jeg å sjekke om magic_quotes er på, før jeg kjører en slik funksjon? Eller sjekker den funksjonen det for meg? slik at det ikke bli quota to ganger...

[Ernie]

Hmm.. kanskje jeg har misforstått nå. Men... hvis jeg kjører mysql_real_escape_string.. også blir noe quote. Må jeg da kjøre stripslashes på det jeg henter ut? Eller forsvinner \ fra det jeg tar ut? Og en annen ting... trenger jeg å sjekke om magic_quotes er på, før jeg kjører en slik funksjon? Eller sjekker den funksjonen det for meg? slik at det ikke bli quota to ganger...

5334355[/snapback]

Når du skal hente det ut må du kjører stripslashes ja. Jeg ville overhode ikke stolt sånn veldig på magic_qoutes. Det tar ikke ut alt som er farlig for mysql. Derfor er det lurt å kjøre stripslashes før mysql_real_escape om den står på siden man da får vekk en rekke andre farlige tegn.

[Beethoven]

Hm... så det er litt uenighet her?

[Ernie]

Hm... så det er litt uenighet her?

5334408[/snapback]

For å skissere det opp slik jeg ville gjort det:

Hvis magic_quote er på:

Stripslash først og så mysql_real_escape_string etterpå før man legger det i DB. Stripslash på dataene når man henter de ut.

 

Hvis magic_qoute er av:

mysql_real_escape_string før man legger det i DB. Stripslash på dataene når man henter de ut.

 

Gjort om til kode blir det

if(get_magic_quotes_gpc())
$source = stripslashes($source);
$source = mysql_real_escape_string($source);

Endret 25. desember 2005 av Ernie