wordpress - 在 wordpress 中使用 stripslashes() 不安全吗？

Question

当我创建一个输入时

<input type="text" name="456" value="123">

并将该数据传递给另一个 php 站点，Wordpress 会自动添加反斜杠，例如:

\"my text\"

但我需要以下方式的文本:

"my text". 

这就是我在进一步处理数据之前使用该函数的原因:

stripslashes() 

这是针对黑客攻击的不安全解决方案吗？由于我通过 API 发送密码，因此了解这一点至关重要。

Answer 1

对于 future 的读者，之前的答案是直接错误。根据 Ian的评论，WordPress 在内部强制执行等效的魔术引号，以确保一致的输入、向后兼容性，并保护新手免受 WP 安装的影响。这是糟糕的过去™的遗留物，当时人们在没有任何清理/验证的情况下直接将数据插入数据库是很常见的，然后只针对他们目睹的问题而不是正确地编写解决方案。

在您的数据上使用 stripslashes() 和 stripslashes_deep() 是安全的，只要您正确传递任何未转义的数据通过$wpdb->insert()、$wpdb->prepare()等方式保存到数据库。 从不将未转义的数据写入像 $_POST 这样的超全局变量，这些数据预计会保持转义，使用像 $my_post = stripslashes_deep($_POST); 这样的副本>。大多数情况下，您会自己逃避，这就是为什么经常看到很多反斜杠乱扔 WP 内容的原因。

这与 html 输出的转义完全分开，应该总是在不受信任的用户输入上完成。