Undgå problemer ved brug af gåseøjne samt andre tegn

Måske kan du bruge addslashes()

Ok. Kender ikke funktionen. Må jeg lige undersøge. Men navnet siger vel næsten sig selv :)

Du kan osse tjekke din opsætning. For hvis: "magic_quotes_gpc = On" tilføjes der automatisk backslashes til variabler fra GET, POST og COOKIES variabler.

Ja, den er = 1. Så jeg må ikke bruge addslashes. Men den løsning jeg skal finde, skal være uafhængig af opsætningen på serveren. Jeg vil kunne bruge mine script nøjagtigt hvor det passer mig.

Ja, du kan selvfølgelig altid køre en stripslashes() inden addslashes(), for at fjerne evt. \ først.
Ellers kan du jo tjekke indstillingen i den her stil:
if (!ini_get('magic_quotes_gpc')) $str = addslashes($str);

Der er intet problem i at gemme "-ere i databasen.
Problemet kan komme andetsteds, hvis du fx har

<input type="text" name="overskrift" value="Peter råbte: "Hej"">

Der forsvinder her. Funktionen htmlentities er din ven (og en nødvendig
ven!), da den vil lave det om til det korrekte:

<input type="text" name="overskrift" value="Peter råbte: &quot;Hej&quot;">

Ja, det var selvfølgelig en mulighed.
Vil jeg se på i morgen. Tak :)

Erik > Der er vel i realiteten intet problem med at bruge " og '. De eksisterer vel i stortset alle tegnsæt?!. Jeg skriver nu også bare æ, ø og å, i stedet for HTML koden.

Og i det tilfælde kan man jo vælge: value='Peter råbte: "Hej"'>

Jo, det er et problem. I første udgave ser din browser kun

<input type="text" name="overskrift" value="Peter råbte: ">

Det er korrekt at det virker med æ, ø og å i de fleste (men IKKE alle)
browsere. Dette er dog et yderst direkte problem, da værdien ganske enkelt
afsluttes ved det første "

Men om det rent faktisk er det, der er problemet, skal jeg ikke kunne sige.

detox: men så skal du tage højde for at ' kan forekomme i teksten. Den
eneste løsning er at gøre det korrekt, med htmlentities, i stedet for
selvopfundne, amatøragtige løsninger.

Ah, ok. Nu forstår jeg hvad du mener (tror jeg).

Jeg kunne fx. have noget fra en database hvor der stå "Hun sagde "hej"". Hvis man så forestillede sig, at jeg ville redigere denne tekst, skulle jeg bruge htmlentities uden om variablen, for at få den udskrevet rigtigt. Ellers ville jeg kun få en del af teksten med.

Det lyder som om du har forstået det, webcreator.

Erik > Jeg har netop tjekket. Alle værdier indskrives korrekt i databasen - selv om jeg bruger "-tegnet.

Men det er ikke alle steder, at den forkerte værdi udskrives. Fx. giver flg :

$link = " Jegsagde"hej ";
$navn = " "hej" sagde hun";
<a href=\"$link\">$navn</a>

dette:

<a href=\"Jegsagde\">"Hej" sagde hun</a>

Er det kun i HTML-kode, at det vil give mig problemer, hvis jeg ikke bruger htmlentities ?

Jeg synes da ikke magic_qoutes_gpc eller addslashes() er amatøragtige og det er ikke noget jeg har fundet på. Jeg har aldrig oplevet problemer med hverken ' eller ". Jeg har til gengæld haft problemer med htmlentities, når den viser fx &qout; på skærmen istedet for ".
Jeg har ikke oplevet problemer med hverken at gemme tekster med " eller ', eller få vist disse igen.

Har forøvrigt lige testet det og jeg får fint udskrevet:
Her er en 'lille' prøvetekst!
Her er "en" anden.
fra min tabel.

Jeg smutter i seng nu.
Tak for hjælpen so far :)

[16/12-2003 23:48:57]
Er det kun i HTML-kode, at det vil give mig problemer, hvis jeg ikke bruger htmlentities ?

Jeg vil mene du skal bruge apostroffer:

$link = ' Jegsagde"hej" ';
$navn = ' "hej" sagde hun';
echo "<a href='".$link."'>".$navn."</a>";

jo... brug:

$var = "tester 'lige'";


eller

$var = "tester \"lige\"";


herefter vil udfaldet være:

eks1:  'hej'

eller

eks2: "hej"


så tilfældet må være at addslashes()

En anden god funktion til at sørge for at " og ' ikke ødelægger værdier der gemmes i mysql:
http://dk2.php.net/mysql_escape_string

Jeg må siger jeg bliver mere og mere forvirret.

Lad os slå én ting fast : "-tegnet gemmes uden problemer i databasen. Så lad os holde os til udskrivning af indhold fra DB'en

Hvad angår HTMLentities, hvor skal den så bruges? KUN i selve html-koden? Eller også i fx. et div-tag ?

HTML Kode : <a href=\"test.php\" title=\"".$info["link"]."\"></a>

Div-Tag : <div class=\"test\">".$info["beskrivelse"]."</div>
(Her betragter jeg ikke beskrivelsen som en del af HTML koden. Så her skal jeg vel ikke bruge HTMLentities ?? Eller er det blot en god ide at gøre det alligevel?)

Tidligere har jeg brugt : nl2br(htmlentities($info["beskrivelse"]));
Så kunne der heller ikke "eksekveres" HTML kode. Er dette den rigtige løsning for mig ? - Simpelthen at bruge den overalt, hvor der hentes data fra databasen.

Det er en god idé at gøre det allesteder. Har du imidlertid
html-tags i din tekst dur det ikke, så der er du nødt til at antage
at alt er i orden (du kan ganske enkelt ikke gøre andet).

detox: værktøjerne skal bruges korrekt.

Jeg bruger disse:

//Bruges til link hentet fra DB'en
function toUrl($var){
return rawurlencode(stripslashes($var));
}

//Bruges til output, så f.eks. æ, ø og å vises korrekt
function toHtml($var){
return htmlentities(stripslashes($var));
}

//echo"<a href=\"". toUrl($vis->link) ."\">". toHtml($vis->text) ."</a>";


//Bruges til at lægge i DB'en
function toData($var){
return "'" . addslashes($var) . "'";
}

//mysql_query("INSERT INTO `db` (`navn`, `pass`) VALUES (". toData($_POST["navn"]) .",". toData($_POST["pass"]) .")") or die (mysql_error());

Øh, sukos, hvorfor siger du stripslashes når du trækker ud
af databasen? Hvis du siger addslashes een gang, som det antydes,
er det forkert at sig stripslashes igen. Hvis du siger addslashes 2
gange, den ene gang automatisk, den anden gang direkte, så er den addslashes/
stripslashes overflødig.

Æhæ,,,
i php.ini ændrer jeg intet, altså magic_quotes_gpc = On.

Hvis ikke jeg bruger addslashes, kan en bruger jo netop "manipulere" med indhold som skal gemmes i DB'en.
Og bruger jeg ikke stripslashes ved output, ja så kommer de jo med.

addslashes eller mysql_escape_string bruges kun for at undgå at en " eller ' afslutter strengen, eller at der laves andre ugerninger i MySQL sætningen. Når man bagefter hiver det ud af MySQL skulle der meget gerne ikke være backslashes i teksten, og en stripslashes er ikke nødvendig...

hmm, hvis jeg skriver, Og hva' så du, bliver der lagt
Og hva\' så du
ind i DB'en.???

Det er fordi du laver 2 addslashes, een pga magic_quotes, og een fordi du gør
det een gang til. Den ekstra gang er overflødig, forudsat selvfølgelig du
fjerner din stripslashes.

Og lidt "farlig" er den også, da nogle tegn nu fylder dobbelt, og du dermed
ikke kan regne med en erklæring som varchar(10).

Bør jeg virkelig tilføje : nl2br(htmlentities($var)) over alt ?

Fx. har jeg en form, hvor jeg angiver navn, beskrivelse osv. Hvis et krav ikke er opfyldt, udskrives en fejl, og den submit'ede tekst udskrives igen i formen, så brugeren ikke mister data. Men hvis jeg bruger ovenstående funktioner, bliver der efter submit smidt \ foran alle "-tegn. Det er ikke så godt.

Nej, addslashes  -  direkte eller indirekte  -  du'r kun til databasebrug.
Skal du skrive en adslashet streng ud til brugeren, skal du stripslashe den
inden brug. En streng du henter fra databasen er ikke addslashet. Er den
fra en form kan den være det hvis det sker automatisk, eller du selv gør det.

Den der automatiske addslash-ting (magic_quotes) er faktisk noget hø, og en
ikke særlig gennemtænkt beslutning, vi desværre må leve med ;)

Ok. Man kunne så evt. komme uden om problemet ved, at erstatte \" med ". Det er nok de færreste der vil bruge en backslash og gåseøjne op ad hinanden :)

Nej, det er ikke en løsning. Man både kan og skal gemme præcis hvad brugeren skriver.

Ja. Jeg talte også om udskrift fra DB'en.

Men det er da også et problem det du nævner. Hvis brugeren skriver i en form :

- Pigen sagde "hej".
- Brugeren trykker nu submit, men har glemt et felt (som skal udfyldes)
- Der udskrives en fejl-besked, og værdierne som brugeren indtastede, sættes ind i input-felterne igen. Men nu lyder teksten : Pigen sagde \"hej\".

Hvis brugeren ikke opdager fejlen, submitter han nu noget, som han ikke har været med til at skrive.

Nej, fordi du ved du skal sige stripslashes når du viser det igen i formen (og
det kommer fra noget automstisk addslashes).

Hm, jeg er lidt i tvivl nu. Vil det sige, at jeg _både_ skal bruge nl2br(htmlentities($var)) samt stripslashes ? Dvs. 3 funktioner for at få udskrevet noget fra min DB.

Du skal ikke bruge stripslashed ved udtræk fra databasen. Aldrig.

Du skal bruge stripslashes hvis du vil bruge noget addslashet data fra
en form i enhver anden sammenhæng end indsættelse i database.

Og du skal selv bruge addslashes hvis du udtrækker noget fra en database,
ændrer i det, og putter det tilbage igen (altså uden det har været en tur
forbi en form). Hvis du ved det er tal behøv's du så ikke.

Mit problem er jo netop, at jeg ikke ved, hvornår der er \ i mine variabler. Serveren tilføjer dem selv nu og da. Er du med på min beskrivelse ang. submit af data i en form ?

Du kunne også bare svare mig på, om nedenstående er korrekt :)  :

- Jeg tilføjer brugerens input nøjagtigt som han angiver det i formen (dog med \ i teksten hvis serveren selv indsætter det)
- Ved udtræk bruger jeg nl2br(htmlentities($book["var"]))

That's it

Den tilføjer ikke nu og da - den gør det skam efter bestemte regler, men
afhængig om magic_quotes er sat eller ej på serveren.

Er magic_quotes sat indsætter du bare i databasen, og udtrækker uden stripslashes.

magic_quotes_gpc      On  On
magic_quotes_runtime  Off Off
magic_quotes_sybase  Off Off

Sådan ser min config ud. Går ud fra, at gpc'en er "magic_quotes", som du kalder den.

Det er fint, hvis vi er enige om, at jeg bare indsætter i DB'en, og trækker ud vha. : nl2br(htmlentities($book["var"]))

Men det giver stadig et mindre problem.
Jeg har tror ikke jeg har forklaret det godt nok, for vi snakker vist forbi hinanden. Så jeg viser dig det i stedet.

Prøv engang at gå til :
http://www.powerzone.dk/bookmark/index.php

Indtast i "Username" noget i retning af : Pigen sagde "Hej"
Efterfølgende vil scriptet udskrive : Pigen sagde \"Hej\"

Lad os så i stedet antage, at det var data, som blev smidt i databasen. Så ville jeg få en masse \"'ere, hvis folk ikke selv retter det (og altså opdager det).

Kunne man for øvrigt ikke forestille sig, at det ville være smartere, at lave noget i retning af : $var = nl2br(htmlentities($_REQUEST["var"])); ?

Fx. bruger jeg variablen $word rigtig mange gange i mit dokument. Så er det ikke overkill, at jeg bruger de to funktioner så mange gange ?

Du skal bruge stripslashes i de tilfælde.
Jo, brug gerne variabler til at gemme resultater i.

Ok, tak :)

Smider i venligst nogle svar ? :-)

Jeg vil nu stadig holde på at:

if (!ini_get('magic_quotes_gpc')) $str = addslashes($str);

er brugbar, hvis du vil sikre dig at din kode skal kunne køre på alle servere uanset magic_quotes_gpc indstillingen.
Jeg kan til gengæld godt se problematikken, når du skal bruge variablerne fra din database i en form eller et link, skal der selvfølgelig bruges htmlentities().
MVH c",)

Jo, det er rigtigt for at putte det i databasen, såmænd. Problemet
er et andet her, og det løses her med htmlentities som man skal.
Jeg gider ikke have point for sådan en lang, mærkelig, diskussion ;)

Ok. Jamen så siger jeg tak til alle :)