[cOAPerator]

glaberzu, не пойму вот этого?

Если вы уже сделали mysql_real_escape_string() как советовал человек - то в вышенаписанном рецепте необходимости нет.

mysql_real_escape_string функция ведь для экранирования в запросе, но данные в базу то заносятся исходными - без экранирования...

Функция addslashes() часто применяется при записи в базу данных. Заметьте, что сам символ \ в базу данных записан не будет, он используется только для корректной передачи данных в базу. аналогично и mysql_real_escape_string

соответственно stripslashes надо обязательно использовать... или нет?

[glaberzu]

mysql_real_escape_string функция ведь для экранирования в запросе, но данные в базу то заносятся исходными - без экранирования...

В базу заносится как раз с экранированием, которое mysql_real_escape_string экранирует все спецсимволы, включая кавычки. =) addslashes() экранирует исключительно кавычки, без спецсимволов.

А вот stripslashes() действительно лучше использовать всегда - потому что экранировать запрос на стороне сервера внутренними средставми php - не проблема (mgc - это экранирование на уровне apache), а поведение magic quotes неадекватно и при записи может вызвать много проблем.

Если на него полагаться, например, и не экранировать запросы - то при переносе на другой хост, где mgc отключено, вы получите фатальные ошибки.

В общем, результируя (это только для примера!):

<?php
// избавляемся от mgc, если включено
foreach($_POST as $k=>$v) $_POST[$k] = stripslashes($v);

// при записи
$_POST['nick'] = addslashes($_POST['nick']);

[cOAPerator]

Как такое может быть?
вот это:

Функция addslashes() часто применяется при записи в базу данных. Заметьте, что сам символ \ в базу данных записан не будет, он используется только для корректной передачи данных в базу. аналогично и mysql_real_escape_string

взято с сайта php.net

а вы говорите:

В базу заносится как раз с экранированием

может я чего то недопонимаю?

[glaberzu]

Раз написано значит так и есть - извините голова уже не варит. Что бы голова не болела каждый раз о magic quotes gpc - можно использовать такой участок из моих скриптов. Устраняет лишнее экранирование только если magic quotes gpc включены.

if(get_magic_quotes_gpc())
{
foreach($_POST as $k=>$v)
{
$_POST[$k] = stripslashes($v);
}
}

[cOAPerator]

glaberzu,

Директиву magic_quotes_gpc можно отключить только на системном уровне и нельзя во время выполениня.

вот источник так что это врят-ли поможет исходя из документации по php. или по краней мере это неэффектино как написано в той же документации.

[glaberzu]

вот источник так что это врят-ли поможет исходя из документации по php. или по краней мере это неэффектино как написано в той же документации.

Да при чем тут документация, я вам не предлагаю отключить magic quotes, вы что не видите - это пре-обработка POST массива в самом скрипте =) Вобщем-то руководствуйтесь документацией - только не трактуйте ее неправильно.

"Нельзя отключить", например, не тождественно "невозможно обойти".