mysql_escape_string vs. stripslashes?

http://dk2.php.net/manual/da/function.mysql-real-escape-string.php

mysql_real_escape_string() kalder MySQLs biblioteks funktion mysql_escape_string, hvilket tilføjer en skråstreg, til følgende karakterer: NULL, \x00, \n, \r, \, ', " og \x1a.


http://dk2.php.net/manual/da/function.addslashes.php

Returnerer en streng med backslashes før tegn der skal beskyttes i en database forespørgsel mm. Disse tegn er enkelte citationstegn ('), dobbelte citationstegn ("), backslash (\) og NUL (NULL byte).

Oki, skal man bruge dem begge, eller kan man bare bruge addslashes og stripslashes?

Hvis magic_quote_gpc er off, så skal du blot bruge mysql_real_escape_string() når du gemmer data i databasen.

Når du skal trække dataene ud igen, skal du ikke foretage nogen behandling.

Hvis magic_quote_gpc er on, så skal du bruge stripslashes() når du trækker dine data ud igen.

Jeg har fundet disse 2 function her på siden:

function my_addslashes($streng) {
return get_magic_quotes_gpc()?$streng:addslashes($streng);
}

function my_stripslashes($streng) {
return get_magic_quotes_runtime()?stripslashes($streng):$streng;
}

Kan de bruges til det hele?

Det ligner fra min artikel ;-)

For det første er mysql_escape_string forældet, så man bør benytte mysql_real_escape_string i stedet.

For det andet er addslashes mere generel end mysql_real_escape_string. Hvis du skal bruge det specifikt til at sætte ind i en mysql-query, så bør du benytte mysql_real_escape_string.

Fidusen ved my_addslashes-funktionen er, at den tager en streng og kører kun addslashes på den, hvis PHP ikke er sat til automatisk at lave addslashes på alle indkommende strenge. I denne udgave bruges den altså til at sikre, at der er kørt addslashes på en streng, man har modtaget "udefra". Man kunne i stedet (hvis magic_quote_gpc er slået til) køre stripslashes på alt indkommende data, så der ikke er "overflødige" \er når ens PHP-kode forbehandler data, og derefter køre alle værdier gennem mysql_real_escape_string, når man skal bruge dem til databasekald.

Den anden funktion er beregnet til når man trækker data ud fra databasen og skal udskrive det. Hvis magic_quotes_runtime er slået til, sætter PHP nemlig også slashes i det, man trækker ud fra databasen.

Bemærk forresten, at de slashes, som sættes på ting, man sætter ind i databasen med enten addslashes eller mysql_real_escape_string bliver "spist" af MySQL under brug, så de optræder ikke i databasen, når du trækker dataene ud igen. Uanset om magic_quotes_gpc er slået til eller ej.

Og det er kun hvis magic_quotes_runtime er slået til (eller hvis data fik flere gange slashes før indsættelse), at der kommer slashes i udskriften.

Mange tak for hjælpen sandbox..

Jeg har hævet pointsene til 50.

Så smid et svar begge..

Ok, kommer her.

Og her..