O preferível é realmente de alguma forma informar a pessoa que esta usando o script que existe algum problema de configuração, o motivo é a performance.
Imagine que o script está recebendo muitos dados via $_POST
(e até mesmo multidimensional), se for usar stripslashes
para cada nível do vetor em $_POST
e você tiver muitos dados isto pode fazer o script demorar de processar além de em alguns casos aumentar consideravelmente o consumo de memória.
O Exception
do exemplo pode ser uma saída, ou até mesmo uma mensagem customizada, todavia o importante mesmo é sempre desligar o magic_quotes_gpc
e se possível fazer o upgrade do PHP.
O que é o magic_quotes_gpc
Aviso
Esta funcionalidade tornou-se OBSOLETA desde o PHP 5.3.0 e foi REMOVIDA a partir do PHP 5.4.0.
Quando ligada, qualquer '
(aspas simples), "
(aspas duplas), \
(barra invertida) e NULL
será colocado uma barra-invertida antes ('
vira \'
) automaticamente. Isso é idêntico ao que a função addslashes()
faz.
Porque usávamos magic_quotes_gpc
A função ajudava alguns iniciantes a construir um código melhor na tentativa de ser mais seguro. Mas, ao lidar com código que utiliza este recurso é melhor atualizar o código do que ativar magic quotes. Assim, por que isto existe? Era para ajudar a prevenir injeção de SQL. Os desenvolvedores de hoje estão mais a par de segurança e acabam usando mecanismos específicos do banco de dados para escapar e/ou comandos preparados ao invés de depender de coisas como magical quotes, como por exemplo:
Veja algumas dicas de como trabalhar com mySQL:
Porque não devemos usar magic_quotes_gpc
Portabilidade, pois se o magic_quotes_gpc
esteja ligado ou desligado isto pode afetar a portabilidade do código, por exemplo, novas versões do PHP, a partir da 5.4 mesmo ligando no php.ini o magic_quotes_gpc
você não irá conseguir usar pois ele foi removido.
Performance, quando ligado ele irá escapar todos os dados de GET
, POST
, COOKIE
e REQUEST
e isto pode ser um pouco custoso ao servidor dependendo da quantidade dados que por exemplo o POST
transporta e também em caso de arrays multidimensionais (que é suportado pelo GET
e pelo POST
).
É inconveniente, pois nem todos lugares aonde usaremos os dados precisam ser escapados e isto pode causar alguns problemas, isto irá lhe obrigar a fazer o uso excessivo do stripslashes
.
Desabilitando
Se estiver usando o PHP5.4+ não precisa se preocupar em desabilitar pois ele já foi removido, no entanto se não tiver a possibilidade de fazer o upgrade em seu servidor ainda então você terá que editar o php.ini editando as seguintes flags
assim:
; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc=Off
; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime=Off
; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase=Off
Documentação