magic_quotes_gpc函數在php中的作用是判斷解析用戶提示的數據,如包括有:post、get、cookie過來的數據增加轉義字符“//”,以確保這些數據不會引起程序,特別是數據庫語句因為特殊字符引起的污染而出現致命的錯誤.

在magic_quotes_gpc=On的情況下，如果輸入的數據有

單引號（’）、雙引號（”）、反斜線（）與 NUL（NULL 字符）等字符都會被加上反斜線,這些轉義是必須的，如果這個選項為off,那么我們就必須調用addslashes這個函數來為字符串增加轉義.

正是因為這個選項必須為On,但是又讓用戶進行配置的矛盾,在PHP6中刪除了這個選項，一切的編程都需要在magic_quotes_gpc=Off下進行了,在這樣的環境下如果不對用戶的數據進行轉義,后果不僅僅是程序錯誤而已了,同樣的會引起數據庫被注入攻擊的危險,所以從現在開始大家都不要再依賴這個設置為On了,以免有一天你的服務器需要更新到PHP6而導致你的程序不能正常工作.

當magic_quotes_gpc=On的時候,函數get_magic_quotes_gpc()就會返回1

當magic_quotes_gpc=Off的時候,函數get_magic_quotes_gpc()就會返回0

因此可以看出這個get_magic_quotes_gpc()函數的作用就是得到環境變量magic_quotes_gpc的值。既然在PHP6中刪除了magic_quotes_gpc這個選項，那么在PHP6中這個函數我想也已經不復存在了。

php 判斷是否開啟get_magic_quotes_gpc功能了,以方便我們是否決定使用addslashes這個函數了,代碼如下:

1. function SQLString($c, $t){ 
2.  $c=(!get_magic_quotes_gpc())?addslashes($c):$c; 
3.  switch($t){ 
4.   case 'text': 
5.    $c=($c!='')?"'".$c."'":'NULL'; 
6.    break; 
7.   case 'search': 
8.    $c="'%%".$c."%%'"; 
9.    break; 
10.   case 'int': 
11.    $c=($c!='')?intval($c):'0'; 
12.    break; 
13.  } 
14.  return $c; 
15. } 

預防數據庫攻擊的正確做法,代碼如下:

1. <?php 
2. function check_input($value) 
3. { 
4. // 去除斜杠 
5. if (get_magic_quotes_gpc()) 
6. { 
7. $value = stripslashes($value); 
8. } 
9. // 如果不是數字則加引號 
10. if (!is_numeric($value)) 
11. { 
12. $value = “‘” . mysql_real_escape_string($value) . “‘”; 
13. } 
14. return $value; 
15. } 
16. $con = mysql_connect(“localhost”, “hello”, “321″); 
17. if (!$con) 
18. { 
19. die(‘Could not connect: ‘ . mysql_error()); 
20. }//開源軟件:Vevb.com 
21. // 進行安全的 SQL 
22. $user = check_input($_POST['user']); 
23. $pwd = check_input($_POST['pwd']); 
24. $sql = “SELECT * FROM users WHERE 
25. user=$user AND password=$pwd”; 
26. mysql_query($sql); 
27. mysql_close($con); 
28. ?>