Vlákno názorů k článku PHP okénko: Escapování od Michal Kubeček - Autor zapomněl na jeden, IMHO nejpodstatnější, důvod, proč...

Autor zapomněl na jeden, IMHO nejpodstatnější, důvod, proč htmlencodovat data až před tím, než se budou zobrazovat na web. Protože mnohdy s těmi daty potřebujeme provádět i něco jiného, než je rovnou zobrazit na web, (a nebo s nimi pracujeme i z jiných klientů než z PHP) a pak bychom si zbytečně přidělávali práci s jejich zpětným dekódováním. Ze stejných důvodů by bylo záhodno, aby berličky typu magic_quotes_gpc co nejdříve zmizely v propadlišti dějin spolu s dalšími hříchy nezralého mládí, jako register_globals…

Co je az take nezrale na magic_quotes_gpc? Chapem, ze register_globals je riadna sprostost, ale "magic_quotes_gpc on" v default konfiguracii je IMHO velmi dobra vec. Je mnozstvo ludi, ktory pisu PHP a vobec uvazovat o bezpecnosti svojho diela ich ani nenapadne. Potom staci niekde najst odkaz typu:

<a href="?zmaz_id=13">Zrusit ucet</a>

a ked je tento implementovany priblizne takto:

mysql_query ("DELETE FROM ucty WHERE id = '{$_GET['zmaz_id']}'");

tak staci ako zmaz_id zadat \"13\' OR 1 OR \'a\' = \'\" a razom zmazeme celu tabulku. Samozrejme takto je to nespravne, spravne by to malo vyzerat takto:

$id_escaped = addslashes ($_GET['zmaz_id']);
mysql_query ("DELETE FROM ucty WHERE id = '$id_escaped'");

alebo dokonca pre pripad, ze by programator este nieco prehliadol (pri zlozitejsich dotazoch):

$id_escaped = addslashes ($_GET['zmaz_id']);
mysql_query ("DELETE FROM ucty WHERE id = '$id_escaped' LIMIT 1");

Lenze toto by asi nerobil skoro ziaden zaciatonik a mierne pokrocily programator v PHP.

Samozrejme, tomu komu to vadi, ten si moze nastavit HTTP server tak, aby bolo magic_quotes_gpc default off. Pripadne sa to da prenastavit aj pre jednotlive stranky (teda aspon si to myslim, neskusal som to).

Ospravedlnujem sa za to

\"13\' OR 1 OR \'a\' = \'\"

spravne to malo byt

"13' OR 1 OR 'a' = '"

To sposobil ROOT, ked som si zvolil formatovanie textu ako xHTML a stlacil som "Zobrazit nahled". Mal som tam chybu a vsetky apostrofy a uvodzovky mi to escapovalo. Rucne som vecsinu odmazal az na tieto. Toto asi trosku nahrava povodnemu autorovi prispevku ;-), ze magic_quotes_gpc by malo byt off, pretoze na druhu stranu su programatori, ktori zase zabudaju na vhodnych miestach pridat volanie stripslashes() (obak addslashes()). :-(

nebo staci:
1 or true ... a pokud to ma v uvozovkach tak treba:
' or ''='

;]

Vida, jeden z důvodů, proč je automatická konverze špatná, jste už našel sám… :-)

Jasne, staci napisat bash skriptik, ale to je taka vrstevnata ochrana... proste utocnik musi pouzit zase nieco naviac. A pokial nevidi ten PHP kod, tak musi tento trik s LIMIT 1 poznat... A naviac, ak ide o vecsiu tabulku (napr. 1000 zaznamov), utocnik si nemusi vsimnut efekt jedneho zmazania. Alebo ak ide o tu tabulku uzivatelov, tak ten efekt nepojde poznat skoro vobec, proste sa nejaky nahodny uzivatel neprihlasi.

Hřích nezralého mládí je to proto, že je to podobná berlička, která odnaučuje lidi myslet, jako bylo register_globals. Uvědomte si, že s daty, která dostanete přes get/post/cookies, potřebujete často provádět i jiné věci, než je okamžitě a bez jakéhokoli zpracování vrazit do databáze. Pokud máte zapnuté magic_quotes_gpc, budete v takových případech muset provádět zase konverzi zpět, což je hodně nešťastné. Navíc, jak už jsem zmínil, u některých databází se obejdete bez addslashes(), protože nemusíte psát data do dotazu, a opět byste prováděl zbytečnou konverzi tam a zpátky.

P.S. Jinak magic_quotes_gpc pochopitelně nelze zapnout/vypnout až ve skriptu (to už by bylo trochu pozdě).

Nie je to síce úplne to isté, čo vypnutie magic_quotes_gpc, ale ja to úspešne používam:

/**
* Odstrani lomitka z hodnot pola, v pripade potreby aj rekurzivne
*
* @param array $arr Vstupne pole
* @return array Vystupne pole
*/
function unslashArray($arr) {
foreach ($arr as $key=>$val) {
$arr[$key]=(is_array($val) ? unslashArray($val) : stripslashes($val));
}
return $arr;
}

if (get_magic_quotes_gpc()) {
$_REQUEST=unslashArray($_REQUEST);
$_GET=unslashArray($_GET);
$_POST=unslashArray($_POST);
$_COOKIE=unslashArray($_COOKIE);
}

Ve výsledku to sice bude fungovat, ale pořád zůstává neefektivní a zbytečná trasformace tam a zase zpátky.

Jo, moje funkce, kterou jsem to kdysi davno resil ja, vypadala podobne, akorat tam jeste mela ochranu proti moc velky rekurzi. Prece jenom, nebyl to peknej pohled na ty hnusny errory o stack overflow :-)