Non credo di violare il regolamento considerando che il bug/problema che descrivo non è attualmente presente bensì si presenterà in un (neanche troppo prossimo) futuro quando i principali servizi di hosting cominceranno ad aggiornare le loro versioni di PHP alla 6. Nel caso "creda" male fatemi un fischio.Oggi mentre ero alle prese con dei lavori su un sito mi sono imbattuto in questo annuncio: http://it.php.net/magic_quotes che annunciava la deprecazione delle magic_quotes a partire da PHP 5.3 (attualmente in stato di RC1, la versione stabile di php attualmente distribuita è la 5.2.9) e la loro successiva rimozione nella versione 6.0.Ma andiamo con ordine:Cosa sono le magic quotes di php?Le magic quotes sono una funzione disponibile su php che provvede a fare l'escape degli apici (cambiandoli da ' in ') su tutti i dati provenienti da da form (POST), variabili GET e COOKIE.Il loro scopo principale è prevenire l'SQL injection provvedendo appunto a fare un escape automatico degli apici.Per quale motivo le tolgono?Da quello che ho letto in giro il motivo principale è il fatto che siano eccessivamente invasive costringendo in alcuni casi a fare stripslashes() su stripslashes() per riottenere dei dati puliti da utilizzare per esempio nelle email o nei salvataggi su file anziché su DB.Personalmente trovo che rimuoverle non sia proprio il massimo, io mi sono sempre appoggiato alle magic_quotes per essere sicuro al 100% di avere una protezione sicura contro l'SQL injection ... ma tantè ... dopotutto capisco anche coloro che non lavorano principalmente su database e si trovano quindi a dover fare decine di stripslashes() per ottenere i dati puliti.Cosa comporta la loro rimozione?Ecco, qui dipende sostanzialmente dal codice in uso, molti CMS/forum dovrebbero prevedere già da soli a questo problema, per quanto riguarda i GDR (visto che di questi che ci stiamo preoccupando) i casi possono essere vari a seconda degli accorgimenti presi. Rimane il fatto che molti motori open source si appoggino alle magic_quotes senza fare controlli ulteriori.Arrivando al punto:PHP 6 è ancora lontano dall'essere rilasciato ed adottato, quanto al 5.3 probabilmente tutti i principali hosting preferiranno tenere abilitate le magic_quotes anche se deprecate per garantire ai propri utenti il tempo di adeguare i loro codici.Quindi il problema è per certi versi ancora lontano dal manifestarsi, ma personalmente preferisco sempre mettermi al sicuro fin da subito in vista di problemi futuri.Una possibile soluzione:Considerando che molti motori per GDR sono stati scritti assumendo la presenza di magic_quotes la cosa migliore è aggiungere una funzione che faccia lo stesso lavoro di magic_quotes.Un esempio è questo:
function magic_quotes($array) { // se le magic_quotes non sono abilitate if(get_magic_quotes_gpc() == '0') { // per ogni valore foreach($array AS $key=>$val) { // se è un array chiamo la funzione ricorsivamente, in alternativa eseguo un addslashes if(is_array($val)) $array[$key] = magic_quotes($val); else $array[$key] = addslashes($val); } } return $array;}$_POST=magic_quotes($_POST);$_GET=magic_quotes($_GET);
Pistacchio: "Se non so cos´e´ un ciclo if"
Pagine → 1
27/04/2009 22:07:47
ma il register_globals non doveva sparire già nella versione 5 di php??
E´ proprio quando un popolo è all´apice del successo, che ha inizio il suo declino..
27/04/2009 22:09:56
register _globals è stato deprecato e settato di default a Off ma è ancora disponibile su php5, questo spiega anche perchè ci siano ancora tanti gdrcd 3.0.0 in circolazione...
27/04/2009 23:58:49
Le Magic_quote fanno, da sempre, più male che bene. Non fanno l'escape di tutti i caratteri pericolosi e traggono in inganno i programmatori tonni. Io, personalmente, ho sempre impostato le mie funzioni in modo che rimuovessero gli slash automatici dei magic_quote dopodichè passavo la stringa alla funzione mysql_real_escape_string() http://it2.php.net/manual/it/function.mysql-real-escape-string.php , tuttavia questa funzione non fa l'escape del carattere % pericoloso per le query in clausole LIKE. Per ovviare a ciò uso la seguente riga di codice
$Stringa = ereg_replace('(%)','\1', $Stringa);
You ask for pity? You demand mercy? I have only Justice.Incoming...
Discussione seguita da: » gemini » tsumi » jammer
