什么是 Magic Quotes？

Magic Quotes 就是把用户输入的敏感字符自动进行转义的一个操作选项，它会根据需要对敏感字符进行转义。当 Magic Quotes 打开的时候，所有的'（单引号），"（双引号），\（反斜杠）和NULL字符都会被添加反斜杠进行转义，这样产生效果就相当于使用addslashes()函数。

一共有三个 magic quote 选项：

magic_quotes_gpc：作用于 HTTP 请求所发送的数据(GET, POST, COOKIE)，运行时不能被改变，在 PHP 中默认值为on。 PHP函数 get_magic_quotes_gpc() 可以用来查看 magic_quotes_gpc 配置。返回1，则magic_quotes_gpc=on；返回0, magic_quotes_gpc=off。 magic_quotes_gpc 默认设置为on，这样PHP引擎自动的转义Get Post Cookie数据中的敏感字符，等价于手工调用addslashes()。主要是为了方便PHP初学者，以应对日益严重的sql注入攻击。 但是设置为on 有性能上的缺点，另外有些情况下，我们不需要对特殊字符转义，设置为on反而是帮了倒忙。 综合利弊，在实际应用中，应该设置 magic_quotes_gpc 为on。

magic_quotes_runtime：如果打开的话，大部份内部函数，包括数据库和文本文件，所返回的数据都会被反斜杠进行转义。该选项能在运行的时候被改变，在 PHP 中的默认值为off。 PHP函数set_magic_quotes_runtime(int new_setting)，get_magic_quotes_runtime() 分别用来设置和获取magic_quotes_runtime选项值。 magic_quotes_runtime 应该在 php.ini 设置为off，在特殊情况下，可以手工调用set_magic_quotes_runtime(1) 打开选项。

magic_quotes_sysbase：如果打开的话，将会使用单引号对单引号进行转义而非反斜框。这时magic_quotes_gpc将会被忽略。换而言之，如果同时打开两个选项的话，单引号将会被转义成''。 而双引号、反斜杠、 NULL 字符将不会进行转义。 magic_qutoes_sysbase 应该在 php.ini 设置为off。