PHP magic_quotes postato il 27/04/2009 21:59:47 nel forum programmazione, gdrcd, open source, hosting
Non credo di violare il regolamento considerando che il bug/problema che descrivo non è attualmente presente bensì si presenterà in un (neanche troppo prossimo) futuro quando i principali servizi di hosting cominceranno ad aggiornare le loro versioni di PHP alla 6. Nel caso "creda" male fatemi un fischio.
Oggi mentre ero alle prese con dei lavori su un sito mi sono imbattuto in questo annuncio: http://it.php.net/magic_quotes che annunciava la deprecazione delle magic_quotes a partire da PHP 5.3 (attualmente in stato di RC1, la versione stabile di php attualmente distribuita è la 5.2.9) e la loro successiva rimozione nella versione 6.0.
Ma andiamo con ordine:
Cosa sono le magic quotes di php?
Le magic quotes sono una funzione disponibile su php che provvede a fare l'escape degli apici (cambiandoli da ' in ') su tutti i dati provenienti da da form (POST), variabili GET e COOKIE.
Il loro scopo principale è prevenire l'SQL injection provvedendo appunto a fare un escape automatico degli apici.
Per quale motivo le tolgono?
Da quello che ho letto in giro il motivo principale è il fatto che siano eccessivamente invasive costringendo in alcuni casi a fare stripslashes() su stripslashes() per riottenere dei dati puliti da utilizzare per esempio nelle email o nei salvataggi su file anziché su DB.
Personalmente trovo che rimuoverle non sia proprio il massimo, io mi sono sempre appoggiato alle magic_quotes per essere sicuro al 100% di avere una protezione sicura contro l'SQL injection ... ma tantè ... dopotutto capisco anche coloro che non lavorano principalmente su database e si trovano quindi a dover fare decine di stripslashes() per ottenere i dati puliti.
Cosa comporta la loro rimozione?
Ecco, qui dipende sostanzialmente dal codice in uso, molti CMS/forum dovrebbero prevedere già da soli a questo problema, per quanto riguarda i GDR (visto che di questi che ci stiamo preoccupando) i casi possono essere vari a seconda degli accorgimenti presi. Rimane il fatto che molti motori open source si appoggino alle magic_quotes senza fare controlli ulteriori.
Arrivando al punto:
PHP 6 è ancora lontano dall'essere rilasciato ed adottato, quanto al 5.3 probabilmente tutti i principali hosting preferiranno tenere abilitate le magic_quotes anche se deprecate per garantire ai propri utenti il tempo di adeguare i loro codici.
Quindi il problema è per certi versi ancora lontano dal manifestarsi, ma personalmente preferisco sempre mettermi al sicuro fin da subito in vista di problemi futuri.
Una possibile soluzione:
Considerando che molti motori per GDR sono stati scritti assumendo la presenza di magic_quotes la cosa migliore è aggiungere una funzione che faccia lo stesso lavoro di magic_quotes.
Un esempio è questo:
Pagine → 1
27/04/2009 22:07:47
ma il register_globals non doveva sparire già nella versione 5 di php??
27/04/2009 22:09:56
register _globals è stato deprecato e settato di default a Off ma è ancora disponibile su php5, questo spiega anche perchè ci siano ancora tanti gdrcd 3.0.0 in circolazione...
27/04/2009 23:58:49
Le Magic_quote fanno, da sempre, più male che bene. Non fanno l'escape di tutti i caratteri pericolosi e traggono in inganno i programmatori tonni.
Io, personalmente, ho sempre impostato le mie funzioni in modo che rimuovessero gli slash automatici dei magic_quote dopodichè passavo la stringa alla funzione mysql_real_escape_string() http://it2.php.net/manual/it/function.mysql-real-escape-string.php, tuttavia questa funzione non fa l'escape del carattere % pericoloso per le query in clausole LIKE. Per ovviare a ciò uso la seguente riga di codice
Discussione seguita da
Pagine → 1
Rispondi alla Discussione Aggiungi ai Preferiti Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum
Planethos GdR: Una nuova profezia
Planethos GdR → Al gioco del trono o si vince o si muore. Con i Regni divisi, quale sarà la tua strada? Guerra, diplomazia, inganno o commercio? Entra e scoprilo!
Metin2: Informazioni sul server migliorate
Age of Crystals: Rallentamenti estivi
dbzgdr ha risposto alla discussione: Dragon Ball Z Gdr
Titan Revenge: Calendario eventi fino a fine mese online!
Lineage II → Entra in uno sconfinato mondo fantasy dominato da razze in contrasto tra loro. Scatena i tuoi poteri in uno dei Mmo più famosi al mondo!
Enlisted: Modifiche al sistema di aggiornamento
pyro72 ha aperto un annuncio di ricerca: World Without Heroes ricerca Giocatore
Titan Revenge → Diventa il grande generale del regno e ottieni il favore degli dei per diventare una valchiria. Unisci le forze per salvaguardare l'umanità!
World Without Heroes: News GDR: Pubblicazione e Nuovo Inizio
I dati del generatore di rank sono stati aggiornati!
Il gestore di Nexi Generation ha risposto alla recensione di deanna
Enlisted → Guida la tua squadra di soldati in combattimenti su larga scala, con fanteria, veicoli corazzati e aerei della IIa Guerra Mondiale!
Silver Phoenix - Recensione di Silver Phoenix..entra nel mondo dei Forgotten Realms e D&D 3.5
Naruto World - Intervista ad Arus admin di Naruto World..primo gdr con questa ambientazione
Il PbC in Cifre - Analisi statistica sul play by chat nell'anno 2011 ricavato da osservazione amtematica delle presenze
Pokémon New Adventures - Intervista allo staff del play by chat Pokémon New Adventures!
Naruto GDR - Intervista allo staff del play by chat Naruto GDR - Beyond the Great War
Fantastic Beasts - Intervista al gestore del GdR potteriano Fantastic Beasts and where to find them GDR