Onderwerp: Addslashes vs. Magic Qoutes

Beste nieuwsgroep,

Even een vraagje uit nieuwsgierigheid. Ik vraag mij af wat de beste
manier is om met quotes in strings om te gaan in een bepaald systeem.
Het betreft bijvoorbeeld een systeem waarbij veel data wordt toegevoegd
aan een database en ook veel data wordt geselecteerd uit een database.
Wederom betreft het een MySQL-database met een PHP-backend.

Natuurlijk heb ik ook gelezen over de poging om addslashes() en
stripslashes() automatisch te laten verlopen, genaamd Magic Quotes. Het
vervelende hieraan is alleen dat de data die je vervolgens uitleest, wel
weer slashes bevat. En dus mag je weer zelf stripslashes() gaan
gebruiken. Hieruit concludeer ik dus dat ik beter Magic Quotes kan
uitzetten en addslashes() gebruik indien dat nodig is.

Is dit de juiste manier? Klopt mijn verhaal? Hebben mensen op- en
aanmerkingen van betreft dit verhaal?

Alvast bedankt.

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

"Maarten Wierda" <moart3n@norecessDOT.com> wrote in message
news:3F73F2FF.58CC5391@norecessDOT.com...
> Beste nieuwsgroep,
>
> Even een vraagje uit nieuwsgierigheid. Ik vraag mij af wat de beste
> manier is om met quotes in strings om te gaan in een bepaald systeem.
> Het betreft bijvoorbeeld een systeem waarbij veel data wordt toegevoegd
> aan een database en ook veel data wordt geselecteerd uit een database.
> Wederom betreft het een MySQL-database met een PHP-backend.
>
> Natuurlijk heb ik ook gelezen over de poging om addslashes() en
> stripslashes() automatisch te laten verlopen, genaamd Magic Quotes. Het
> vervelende hieraan is alleen dat de data die je vervolgens uitleest, wel
> weer slashes bevat. En dus mag je weer zelf stripslashes() gaan
> gebruiken. Hieruit concludeer ik dus dat ik beter Magic Quotes kan
> uitzetten en addslashes() gebruik indien dat nodig is.
>
> Is dit de juiste manier? Klopt mijn verhaal? Hebben mensen op- en
> aanmerkingen van betreft dit verhaal?
>
> Alvast bedankt.
>
> --
> Cheers, Maarten Wierda
>
> "Music is first, lyrics are secondary."


Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
Het lijkt me dus beter om magic uit te zetten en ervoor te zorgen dat
ingevoerde data dmv add/stripslashes correct in de db wordt gezet.

Edw!n

edwin wrote:

> Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
> quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.

Wat is er dan onveilig aan?

> Het lijkt me dus beter om magic uit te zetten en ervoor te zorgen dat
> ingevoerde data dmv add/stripslashes correct in de db wordt gezet.

Ik denk inderdaad ook dat dat het beste is. Slashes toevoegen en
strippen indien nodig.

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

Maarten Wierda wrote:
> edwin wrote:
>
>> Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
>> quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
>
> Wat is er dan onveilig aan?

Dat er veel mensen zijn die denken dat dat een beveiliging is, het is
meer een soort laatste noodgreep. Controleer altijd zelf je invoer (mag
er alleen een getal komen? controleer of het een getal is, etc). Doordat
mensen denken dat magic_quotes beschermen tegen sql injection kan je nu
op allerlei sites fijn op het id field injecten.

Mark

"Marcus" <mark@ijbema.xs4all.nl> wrote in message
news:slrnbn845q.1u7.mark@debian.ijbema.xs4all.nl.. .
> Maarten Wierda wrote:
> > edwin wrote:
> >
> >> Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug
magic
> >> quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
> >
> > Wat is er dan onveilig aan?
>
> Dat er veel mensen zijn die denken dat dat een beveiliging is, het is
> meer een soort laatste noodgreep. Controleer altijd zelf je invoer (mag
> er alleen een getal komen? controleer of het een getal is, etc). Doordat
> mensen denken dat magic_quotes beschermen tegen sql injection kan je nu
> op allerlei sites fijn op het id field injecten.
>
> Mark


Dat is ook eigenlijk wat ik bedoelde: Wanneer magic aan staat zul je niet
snel de ingevoerde data controleren. Wanneer je het uit zet moet je het
bijna wel doen.
Het is dus aan de php-bakker.

Edw!n

Marcus wrote:

> >> Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
> >> quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
> >
> > Wat is er dan onveilig aan?
>
> Dat er veel mensen zijn die denken dat dat een beveiliging is, het is
> meer een soort laatste noodgreep. Controleer altijd zelf je invoer (mag
> er alleen een getal komen? controleer of het een getal is, etc). Doordat
> mensen denken dat magic_quotes beschermen tegen sql injection kan je nu
> op allerlei sites fijn op het id field injecten.

Dat het geen totale beveiliging biedt was me al duidelijk ja. En dat
input grondig gecontroleerd dient te worden voordat het wordt ingevierd
in een database is me ook bekend.

Het gaat mij dus puur om de beste oplossing betreft quotes. *Handmatig*
addslashes() en stripslashes() gebruiken lijkt me het beste.

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

Maarten Wierda <moart3n@norecessdot.com> wrote:
> Het gaat mij dus puur om de beste oplossing betreft quotes. *Handmatig*
> addslashes() en stripslashes() gebruiken lijkt me het beste.

Maar hier houdt het niet bij op. Je moet ook nog op het goede moment
(bij het tonen aan de gebruiker) denken aan het escapen, soms is dat
htmlencoden, soms urlescapen en een andere keer addslashes.

BTW denk er wel aan dat sommige databases verschillende escaping
methodes gebruiken (bv: '' vs. \')

--

Daniel Tryba

Maarten Wierda wrote:
> edwin wrote:
>
>
>>Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
>>quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
>
>
> Wat is er dan onveilig aan?
>
>
>>Het lijkt me dus beter om magic uit te zetten en ervoor te zorgen dat
>>ingevoerde data dmv add/stripslashes correct in de db wordt gezet.
>
>
> Ik denk inderdaad ook dat dat het beste is. Slashes toevoegen en
> strippen indien nodig.
>

Dan wel indien nodig. En denk er ook aan dat je je script misschien nog
wel eens naar een andere server wilt verhuizen waar het anders ingesteld
staat. Het is dus handig om zoiets te doen: (van php.net)

if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST['lastname']);
} else {
$lastname = $_POST['lastname'];
}


Michiel.

Daniel Tryba wrote:

> > Het gaat mij dus puur om de beste oplossing betreft quotes. *Handmatig*
> > addslashes() en stripslashes() gebruiken lijkt me het beste.
>
> Maar hier houdt het niet bij op. Je moet ook nog op het goede moment
> (bij het tonen aan de gebruiker) denken aan het escapen, soms is dat
> htmlencoden, soms urlescapen en een andere keer addslashes.
>
> BTW denk er wel aan dat sommige databases verschillende escaping
> methodes gebruiken (bv: '' vs. \')

Duidelijk. Bedankt voor het meedenken.

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

Michiel de Roo wrote:

> > Ik denk inderdaad ook dat dat het beste is. Slashes toevoegen en
> > strippen indien nodig.
> >
>
> Dan wel indien nodig. En denk er ook aan dat je je script misschien nog
> wel eens naar een andere server wilt verhuizen waar het anders ingesteld
> staat. Het is dus handig om zoiets te doen: (van php.net)
>
> if (!get_magic_quotes_gpc()) {
> $lastname = addslashes($_POST['lastname']);
> } else {
> $lastname = $_POST['lastname'];
> }

Duidelijk. Bedankt voor het meedenken.

--
Cheers, Maarten Wierda

"Music is first, lyrics are secondary."

Michiel de Roo wrote:
> Maarten Wierda wrote:
>> edwin wrote:
>>
>>
>>>Wat ik ervan begrepen heb (mijn hosting provider heeft een jaar terug magic
>>>quotes uitgezet) is dat wanneer deze aan staat, dit onveiliger is.
>>
>>
>> Wat is er dan onveilig aan?
>>
>>
>>>Het lijkt me dus beter om magic uit te zetten en ervoor te zorgen dat
>>>ingevoerde data dmv add/stripslashes correct in de db wordt gezet.
>>
>>
>> Ik denk inderdaad ook dat dat het beste is. Slashes toevoegen en
>> strippen indien nodig.
>>
>
> Dan wel indien nodig. En denk er ook aan dat je je script misschien nog
> wel eens naar een andere server wilt verhuizen waar het anders ingesteld
> staat. Het is dus handig om zoiets te doen: (van php.net)
>
> if (!get_magic_quotes_gpc()) {
> $lastname = addslashes($_POST['lastname']);
> } else {
> $lastname = $_POST['lastname'];
> }

hmmm, en als magicquotes aanstaan en in lastname dit staat:
hoi\
gaat dat dan goed?

Mark

Maarten Wierda <moart3n@norecessDOT.com> schreef:

>Het gaat mij dus puur om de beste oplossing betreft quotes. *Handmatig*
>addslashes() en stripslashes() gebruiken lijkt me het beste.

Bij een goed gebruik heb je stripslashes() nooit nodig.

--
Groet, Ronald

Ronald Paul wrote:

>>Het gaat mij dus puur om de beste oplossing betreft quotes. *Handmatig*
>>addslashes() en stripslashes() gebruiken lijkt me het beste.
>
>
> Bij een goed gebruik heb je stripslashes() nooit nodig.

Hmm, ik begrijp wat je bedoelt. Zie het volgende scenario.

INSERT INTO tabel (foo) VALUES ('Hans' auto');

SQL ziet dit als:

INSERT INTO tabel (foo) VALUES
('Hans'
auto'
');

Volgens mij moet je dus het volgende inserten:

INSERT INTO tabel (foo) VALUES ('Hans\' auto');

Dit bereik je alleen door addslashes() te gebruiken, en nu staat er in
de database netjes: Hans' auto.

Dit is dus allemaal duidelijk, maar is het niet zo dat slashes zelf soms
ook worden ge-escaped?

--
Cheers, Maarten Wierda

Q: What do you call someone who hangs around with musicians?
A: A drummer.

Maarten Wierda <moart3nAT@chello.nl> schreef:

>> Bij een goed gebruik heb je stripslashes() nooit nodig.
>
>Hmm, ik begrijp wat je bedoelt. Zie het volgende scenario.
>
>INSERT INTO tabel (foo) VALUES ('Hans' auto');

[..]

>Volgens mij moet je dus het volgende inserten:
>
>INSERT INTO tabel (foo) VALUES ('Hans\' auto');
>
>Dit bereik je alleen door addslashes() te gebruiken, en nu staat er in
>de database netjes: Hans' auto.

Klopt.

>Dit is dus allemaal duidelijk, maar is het niet zo dat slashes zelf soms
>ook worden ge-escaped?

Jawel, want anders gaat het ook nog fout met backslashes. Stel dat ik

test\

in de database wil hebben, dan moet ik dus het volgende aan de
database-server voeren:

SET veld="test\\", veld=...

omdat

SET veld="test\", veld=...

de mist in zal gaan. addslashes() escaped dus ook mooi backslashes met
een baskslashes.

--
Groet, Ronald

Ronald Paul wrote:

>>Dit is dus allemaal duidelijk, maar is het niet zo dat slashes zelf soms
>>ook worden ge-escaped?
>
>
> Jawel, want anders gaat het ook nog fout met backslashes. Stel dat ik
>
> test\
>
> in de database wil hebben, dan moet ik dus het volgende aan de
> database-server voeren:
>
> SET veld="test\\", veld=...
>
> omdat
>
> SET veld="test\", veld=...
>
> de mist in zal gaan. addslashes() escaped dus ook mooi backslashes met
> een baskslashes.

Mag ik hieruit concluderen dat het ongebruikelijk is stripslashes() te
gebruiken tijdens het selecteren en printen van gegevens uit een database?

--
Cheers, Maarten Wierda

Q: What do you call someone who hangs around with musicians?
A: A drummer.