3

O magic_quotes_gpc é obsoleto desde o PHP5.3 e removido no PHP5.4, mas ainda sim pode ser habilitado no 5.3, sei que é improvável um servidor de produção apresentar tal configuração, mas a duvida aqui é mais um caso de estudo.

Costumava usar algo como:

<?php
function recursiveStripSlashes(&$data)
{
    if(empty($data)) {
        return $data;
    } elseif (is_array($data)) {
        foreach ($data as $key => &$value) {
            $data[$key] = recursiveStripSlashes($value);
        }
    } elseif (is_string($data)) {
        $data = stripslashes($data);
    }

    return $data;
}

if (function_exists('get_magic_quotes_gpc') && get_magic_quotes_gpc()) {
    recursiveStripSlashes($_POST);
    recursiveStripSlashes($_GET);
    recursiveStripSlashes($_COOKIE);
    recursiveStripSlashes($_REQUEST);
}

Sei que parece difícil ter servidores como PHP5.3, mas existem sim casos como este, acho que talvez a preferencia seja orientar o usuário do script a desabilitar, talvez seja melhor apenas lançar uma Excpetion? Algo como:

if (function_exists('get_magic_quotes_gpc') && get_magic_quotes_gpc()) {
    throw new Exception('Desabilite o magic_quotes no php.ini');
}
0

1 Resposta 1

3

O preferível é realmente de alguma forma informar a pessoa que esta usando o script que existe algum problema de configuração, o motivo é a performance.

Imagine que o script está recebendo muitos dados via $_POST (e até mesmo multidimensional), se for usar stripslashes para cada nível do vetor em $_POST e você tiver muitos dados isto pode fazer o script demorar de processar além de em alguns casos aumentar consideravelmente o consumo de memória.

O Exception do exemplo pode ser uma saída, ou até mesmo uma mensagem customizada, todavia o importante mesmo é sempre desligar o magic_quotes_gpc e se possível fazer o upgrade do PHP.

O que é o magic_quotes_gpc

Aviso Esta funcionalidade tornou-se OBSOLETA desde o PHP 5.3.0 e foi REMOVIDA a partir do PHP 5.4.0.

Quando ligada, qualquer ' (aspas simples), " (aspas duplas), \ (barra invertida) e NULL será colocado uma barra-invertida antes (' vira \') automaticamente. Isso é idêntico ao que a função addslashes() faz.

Porque usávamos magic_quotes_gpc

A função ajudava alguns iniciantes a construir um código melhor na tentativa de ser mais seguro. Mas, ao lidar com código que utiliza este recurso é melhor atualizar o código do que ativar magic quotes. Assim, por que isto existe? Era para ajudar a prevenir injeção de SQL. Os desenvolvedores de hoje estão mais a par de segurança e acabam usando mecanismos específicos do banco de dados para escapar e/ou comandos preparados ao invés de depender de coisas como magical quotes, como por exemplo:

Veja algumas dicas de como trabalhar com mySQL:

Porque não devemos usar magic_quotes_gpc

  • Portabilidade, pois se o magic_quotes_gpc esteja ligado ou desligado isto pode afetar a portabilidade do código, por exemplo, novas versões do PHP, a partir da 5.4 mesmo ligando no php.ini o magic_quotes_gpc você não irá conseguir usar pois ele foi removido.

  • Performance, quando ligado ele irá escapar todos os dados de GET, POST, COOKIE e REQUEST e isto pode ser um pouco custoso ao servidor dependendo da quantidade dados que por exemplo o POST transporta e também em caso de arrays multidimensionais (que é suportado pelo GET e pelo POST).

  • É inconveniente, pois nem todos lugares aonde usaremos os dados precisam ser escapados e isto pode causar alguns problemas, isto irá lhe obrigar a fazer o uso excessivo do stripslashes.

Desabilitando

Se estiver usando o PHP5.4+ não precisa se preocupar em desabilitar pois ele já foi removido, no entanto se não tiver a possibilidade de fazer o upgrade em seu servidor ainda então você terá que editar o php.ini editando as seguintes flags assim:

; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc=Off

; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime=Off

; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase=Off

Documentação

2
  • 1
    Acredite se quiser, Desativar Magic Quotes GPC, não acredito que os desenvolvedores estejam a par sobre segurança :P. magic_quotes_gpc e register globals são dois recursos totalmente duvidosos. +1
    – rray
    Commented 11/01/2016 às 11:22
  • @rray Realmente é um recurso duvidoso, eu não sei se ele editou a pergunta, mas lá ele pede "desativar", se o joomla pede pra desativar é provavel que ele já trabalhe com alguma segurança?
    – Syzoth
    Commented 11/01/2016 às 12:43

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .