backslash invoeren > submit knop indrukken > dubbele backslash

[lautje145]

Hallo,

Ik heb een probleem
als je op http://lautje145.gethost.nl/inloggen.php bij de gebruikersnaam een backslash ( '\' ) invoert en op de submit button drukt dan krijg je twee backslashen, weet iemand hoe dit komt, of het liefst kan verhelpen ? ... Alvast bedankt

Met vriendelijke groeten Lautje145

 

[ticom]

je kan de functie stripslashes() er een keer overheen laten gaan
php.net/stripslashes

 

[SvU]

Dat is niet de oplossing. Zo te horen staat 'magic_quotes' aan. Zet dat in php.ini op 0, restart PHP, probleem verholpen.

Geen toegang tot php.ini? Gebruik ini_set. magic_quotes is deprecated en gevaarlijk.

Als je met data werkt, is de _enige_ juiste manier van beveiligen door éérst je input te controleren (is het gevuld, bestaat het uit alphanumerieke tekens, etc.) en daarna, wanneer je het aan de database voert, mysql_real_escape_string te gebruiken.

 

[lautje145]

wat is deprecated , en hoezo is magic quotes gevaarlijk?

 

[SvU]

"In computer software standards and documentation, the term deprecation is applied to software features that are superseded and should be avoided."

Je moet het niet gebruiken om 3 redenen:

A) Het verneukt je data.
B) Het escapet niet alles.
C) Je dient pas te escapen bij het invoeren in de database, en bij MySQL is dat _altijd_ en _uitsluitend_ met mysql_real_escape_string().

http://nl3.php.net/magic_quotes
Op die pagina staat ook nog in grote rode letters dat het gebruik niet wordt aangeraden.

 

[lautje145]

Ik heb de functie stripslashes() toegevoegd ,alleen als je nu een dubbel quote ( " ) invoert dan verdwijnt hij (, dat had ik ook al voor dat ik die stripslashes had toegevoegd) hoe kan ik dit vermijden ?

 

[SvU]

Je moet de functie stripslashes niet toevoegen, je moet magic_quotes uitzetten.

 

[lautje145]

wil je alsjeblieft de code om die magic quotes uit te zetten geven

 

[SvU]

Je kunt het het best in php.ini doen, maar anders met ini_set, zoals ik al zei.

ini_set('magic_quotes_gpc', 'off'); 
ini_set('magic_quotes_runtime', 'off');

 

[lautje145]

Je kunt het het best in php.ini doen, maar anders met ini_set, zoals ik al zei.

ini_set('magic_quotes_gpc', 'off'); 
ini_set('magic_quotes_runtime', 'off');

heeft die code invloed op php ini of niet ?

 

[SvU]

Ik zou zeggen: kijk eens in de PHP manual.

 

[lautje145]

ok

 

[lautje145]

Ik heb die code toegevoegd en die stripslashes tijdelijk verwijdert, maar het heeft niet geholpen . Ik heb die stripslashes nu weer toegevoegd, het is volgens mij verholpen .
alleen heb ik dit nu nog steeds :
Ik heb de functie stripslashes() toegevoegd ,alleen als je nu een dubbel quote ( " ) invoert dan verdwijnt hij (, dat had ik ook al voor dat ik die stripslashes had toegevoegd) hoe kan ik dit vermijden ?

 

[SvU]

Ok, dan niet.

 

[That Guy]

way-around: lekker een replace functie eroverheen donderen:

str_replace($what,$withWhat,$inWhat)

-->

$text = "Hallo \\PHP\ backslash";
$text = str_replace("\\","\",$text);

/* je krijgt iets van "Hallo PHP\ backslash" */

lekker slecht, maar hier werkt het meestal wel.
:thumb:

 

[SvU]

Nee, die output krijg je niet, want je vervangt elke dubbele slash voor een enkele. Daarnaast snap ik niet dat de topicstarter m'n oplossing afwijst en gewoon doorgaat met slechte methoden.

Als je geen hulp wilt, vraag er dan ook niet om.

 

[lautje145]

maar die functie werkt niet op mijn website 'k heb hem uitgeprobeerd ( die functie van magic quotes uitzetten ).

 

[Tha Devil]

Als je met data werkt, is de _enige_ juiste manier van beveiligen door éérst je input te controleren (is het gevuld, bestaat het uit alphanumerieke tekens, etc.) en daarna, wanneer je het aan de database voert, mysql_real_escape_string te gebruiken.

C) Je dient pas te escapen bij het invoeren in de database, en bij MySQL is dat _altijd_ en _uitsluitend_ met mysql_real_escape_string().

Heb je dit nou al eens gedaan?

Daarnaast werkt jouw methode ook niet Vegras aangezien je met die slash er voor zorgt dat je een quote escaped en dus de hele code onbruikbaar maakt.

 

[lautje145]

ik snap echt niks van die mysql real espace string ik heb op php .net gekeken maar snap er nog niks van , sorry hoor dat 'k zo moeilijk ben