Get magic quotes gpc: примеры (PHP)

Код проверки состояния директивы:

// Проверка состояния magic_quotes_gpc
$status = get_magic_quotes_gpc();
echo "Статус magic_quotes_gpc: ";
var_dump($status);

// Результат в PHP 5.3 (если включено):
// int(1)
// Результат в PHP 5.4 и выше (функция всегда возвращает FALSE):
// bool(false)
// Результат в PHP 8.0 и выше (функция удалена):
// Fatal error: Uncaught Error: Call to undefined function get_magic_quotes_gpc()

Условная обработка данных в зависимости от настройки:

if (get_magic_quotes_gpc()) {
    // Если автоматическое экранирование включено, убираем добавленные слеши
    $name = stripslashes($_POST['name']);
} else {
    // Если выключено, берем данные как есть
    $name = $_POST['name'];
}
// Дальнейшая безопасная обработка $name...

Использование magic_quotes_gpc считается устаревшим и опасным подходом. Современные альтернативы:

• Подготовленные выражения (Prepared Statements) с PDO или MySQLi: Наиболее безопасный способ. Параметры привязываются к запросу отдельно, что исключает инъекции.

  // Пример с PDO
  $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
  $stmt->execute(['email' => $_POST['email']]);

• mysqli_real_escape_string(): Экранирует специальные символы для использования в SQL-запросах. Менее предпочтительна, чем подготовленные выражения, но подходит для простых случаев.

• htmlspecialchars(): Преобразует специальные символы в HTML-сущности, предотвращая XSS-атаки при выводе данных в браузер.

  echo 'Привет, ' . htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

Предпочтительнее всегда использовать подготовленные выражения для БД и htmlspecialchars() для вывода в HTML. Магические кавычки не следует применять в новом коде.

Концепция автоматического экранирования всех суперглобальных данных на уровне языка, как magic_quotes_gpc, практически не встречается в других экосистемах. Вместо этого используются другие методы безопасности.

Нет глобального автоматического экранирования входных данных. Используются системы шаблонов, которые по умолчанию экранируют переменные, или ORM с параметризованными запросами.

# Пример с Flask и Jinja2 (экранирование в шаблоне)
# В шаблоне: {{ user_input }} - экранируется автоматически.
# Пример запроса с SQLAlchemy (ORM)
result = User.query.filter_by(email=request.form['email']).first()

В Node.js с фреймворком Express данные запросов доступны «как есть». Для БД используются библиотеки с поддержкой плейсхолдеров.

// Пример с Express и mysql2 (подготовленные выражения)
connection.execute('SELECT * FROM users WHERE name = ?', [req.body.name], (err, results) => {
  // обработка
});

На уровне СУБД аналогии нет. Безопасность строится на использовании подготовленных инструкций на стороне прикладного кода (PHP, Python и т.д.).

Ключевое отличие: В отличие от подхода magic_quotes_gpc, современные практики предполагают контекстно-зависимое экранирование (для SQL, HTML, и т.д.) в момент использования данных, а не их глобальную модификацию при получении.

Самая распространенная ошибка — ручное применение addslashes() к данным, когда magic_quotes_gpc уже включены.

// Предположим, magic_quotes_gpc = On
// Пользователь ввел: O'Reilly
// $_GET['data'] автоматически станет: O\'Reilly

$data = addslashes($_GET['data']); // ОШИБКА: Добавляются ЕЩЕ слеши
// $data теперь содержит: O\\'Reilly
// При выводе или сохранении появятся лишние символы.

Попытка использовать функцию после её удаления вызывает фатальную ошибку.

// Код в PHP 8.0
if (get_magic_quotes_gpc()) { // Фатальная ошибка
    // ...
}

Fatal error: Uncaught Error: Call to undefined function get_magic_quotes_gpc()

Опасное предположение, что включенные magic_quotes обеспечивают достаточную защиту от SQL-инъекций, без использования подготовленных выражений или функций экранирования для конкретной СУБД.

• PHP 5.3.0: Директива magic_quotes_gpc и связанные с ней функции объявлены устаревшими (deprecated). При включенных magic_quotes выдавалось предупреждение уровня E_DEPRECATED.
• PHP 5.4.0: Директива magic_quotes_gpc и связанная с ней директива magic_quotes_runtime были окончательно удалены из ядра PHP. Функция get_magic_quotes_gpc() осталась для обратной совместимости, но всегда возвращала FALSE.
• PHP 7.4.0: Функция get_magic_quotes_gpc() была объявлена устаревшей. Её вызов вызывал предупреждение E_DEPRECATED.
• PHP 8.0.0: Функция get_magic_quotes_gpc() была полностью удалена из языка. Любой вызов приводит к фатальной ошибке.

Код, который корректно получает данные из суперглобальных массивов независимо от настройки magic_quotes_gpc. В новых версиях PHP (>=5.4) он просто возвращает исходное значение.

function getRequestData($key, $source = 'REQUEST') {
    $sourceMap = [
        'GET' => &$_GET,
        'POST' => &$_POST,
        'COOKIE' => &$_COOKIE,
        'REQUEST' => &$_REQUEST
    ];
    if (!isset($sourceMap[$source]) || !isset($sourceMap[$source][$key])) {
        return null;
    }
    $value = $sourceMap[$source][$key];
    // Если magic_quotes_gpc включены, убираем добавленные слеши
    if (function_exists('get_magic_quotes_gpc') && get_magic_quotes_gpc()) {
        $value = stripslashes($value);
    }
    return $value;
}

// Использование
$userName = getRequestData('username', 'POST');
// $userName теперь "чистое" значение, готовое для дальнейшей обработки.

Если необходимо обработать весь массив $_POST, а не одно значение.

function stripslashesDeep($value) {
    if (function_exists('get_magic_quotes_gpc') && get_magic_quotes_gpc()) {
        $value = is_array($value) ? array_map('stripslashesDeep', $value) : stripslashes($value);
    }
    return $value;
}

$cleanPost = stripslashesDeep($_POST);
// Теперь $cleanPost не содержит слешей, добавленных magic_quotes.

Пример, помогающий при миграции старого приложения для понимания, работало ли оно с magic_quotes.

// В коде инициализации (только для PHP < 7.4)
if (function_exists('get_magic_quotes_gpc')) {
    error_log('[Legacy Code] magic_quotes_gpc is ' . (get_magic_quotes_gpc() ? 'ON' : 'OFF'));
}
// Это поможет понять логику старого кода при обновлении.