中文(繁體)
中文(繁體)
在早期的PHP 版本中， get_magic_quotes_gpc()函數用於判斷magic_quotes_gpc這個配置項是否開啟。當該項為On時，PHP 會自動對通過GET 、 POST和COOKIE提交的數據進行轉義處理，即在特殊字符（如單引號' 、雙引號" 、反斜杠\ ）前自動加上反斜杠。這本意是為了防止SQL 注入，但這種做法在很多場景下反而帶來了不便，甚至導致數據出現雙重轉義的問題。
當magic_quotes_gpc被開啟時，用戶提交的數據已經被自動加了轉義符。如果開發者在接收到數據後，再手動使用addslashes()等函數處理這些輸入，就會導致雙重轉義問題。例如，原本輸入的字符串是：
I'm a user.
第一次被magic_quotes_gpc自動轉義後變成：
I\'m a user.
如果此時又使用addslashes()處理：
I\\'m a user.
那麼存入數據庫的內容就與用戶原始意圖不符，也容易造成數據混亂。
為了避免雙重轉義，開發者需要先判斷magic_quotes_gpc是否開啟。如果開啟，則先將數據進行反轉義處理，再根據需要決定是否進行手動轉義。
可以通過遞歸地對用戶輸入的數組進行處理，確保所有數據中的反斜杠被正確移除。
以下是一個示例代碼：
<code> function cleanInput($data) { if (is_array($data)) { return array_map('cleanInput', $data); } else { return stripslashes($data); } } if (get_magic_quotes_gpc()) {
$_GET = cleanInput($_GET);
$_POST = cleanInput($_POST);
$_COOKIE = cleanInput($_COOKIE);
}
</code>
在這個例子中，我們定義了一個cleanInput()函數，它會遞歸地處理數組中的每個值，調用stripslashes()去除不必要的轉義字符。如果get_magic_quotes_gpc()返回true ，則對$_GET 、 $_POST和$_COOKIE三個超全局數組進行清理。
需要注意的是， magic_quotes_gpc在PHP 5.4.0 中已被廢棄，並在PHP 7.0.0 中被徹底移除。因此，在現代PHP 開發中，這個問題已不再存在。但在維護老項目或處理一些遺留系統時，還是有必要知道如何處理。
如果你仍在使用老版本PHP，並且無法升級，建議在項目初始化時就執行統一的處理邏輯，將所有輸入清洗乾淨後再進行後續操作。
另外，使用現代數據庫訪問方式（如PDO）結合參數綁定機制，不僅可以防止SQL 注入，還能避免手動轉義字符串的繁瑣。例如：
<code> $pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'password'); $stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email'); $stmt->execute(['email' => '[email protected]']); </code>如上所示，參數綁定避免了直接拼接SQL，從根本上解決了轉義與註入的問題。
magic_quotes_gpc的自動轉義機制是一種“看似安全”的設計，但在實際開發中往往帶來更多困擾。了解其工作原理並採用合適的處理方式，能有效避免數據雙重轉義的問題。同時，更建議使用現代PHP 編程範式和數據庫接口，逐步淘汰對這些過時特性的依賴，以提升代碼的可維護性和安全性。
