Выложи этот код на какой то бесплатный хостинг

Я всё это пробовал, всё отлично добавилось.

Отключи на сервере магические кавычки. Потом снова же попробуй свой код!
Отключение является обязательным, потому что в 5.4. уже нет магических кавычек.

Т.к. в требовании написано

# Борьба с магическими кавычками      
 
 if (get_magic_quotes_gpc())
  {
    function stripslashes_deep($value)
    {
       if( is_array($value) )
       {
          $value = array_map('stripslashes_deep', $value);
       }
       elseif ( !empty($value) && is_string($value) )
       {
          $value = stripslashes($value);
       }
       return $value;
    }

    $_GET     = stripslashes_deep($_GET);
    $_POST    = stripslashes_deep($_POST);
    $_COOKIE  = stripslashes_deep($_COOKIE);
    $_REQUEST = stripslashes_deep($_REQUEST);
  }

Winston
ох как я её не давно искал.. кое как нашёл)

тока чтоб не испугаться

 $_GET     = isset($_GET) ? stripslashes_deep($_GET) : null;
 $_POST    = isset($_POST) ? stripslashes_deep($_POST) : null;
 $_COOKIE  = isset($_COOKIE) ? stripslashes_deep($_COOKIE) : null;
 $_REQUEST = isset($_REQUEST) ? stripslashes_deep($_REQUEST) : null;

Игорь_Vasinsky
Твоя запись бессмысленна, т.к. все суперглобальные массивы которые ты проверяешь существуют всегда, можешь проверить

var_dump($_GET, $_POST, $_COOKIE, $_REQUEST);

Shuriken
А после отключения перезапускал сервер?

Скрипт вообще не должен зависеть от магических кавычек, т.к. на некоторых хостингах они по умолчанию включены, и ты не можешь их выключить, здесь остается использовать только ф-ю которую я дал выше

Если при insert ты вставишь одинарную кавычку с отключенными "магическими кавычками", у тебя тут же выйдет sql ошибка!

ну вон же Winston дал функцию исключающую двойное экранирование при mysql_real_escape_string() + magic_quotes_gpc on

То, что взялся решать задачу - респект. И то, что решил сам, без подсказок - тоже. Самостоятельность мышления - очень важный момент.

Однако, как и бывает в большинстве случаев, задача решена в корне не верно. Не учтен почти ни один пункт из требований к скрипту.

Я советую почитать разборы предыдущих решений, там очень много можно найти полезного, там есть все ответы на возникающие у тебя вопросы.

И вот когда сделаешь работу над ошибками, проведем доскональный разбор и твоего решения. Просто не хочется повторяться.

Введи текст, а потом проверь длину его через strlen Будет ошибка.

Введи в форму текст и посчитай его длину через strlen. Увидишь, что функция strlen не подходит, так как нужна библиотека mb_ для ЮТФ-8

кирилицу введи

Shuriken
Ошибки и не будет, просто считать будет иначе. strlen считает байты, а русские символы в UTF-8 - двухбайтные.

убираем пробелы: trim() , проверяем на пустоту строки: !empty(). Так будет грамотнее.

Не так, trim убирает пробелы. Сначала убери пробелы с данных:
$_POST['name'] = trim($_POST['name']);
А уже потом проверяй, !empty ли данные. Не забывай, что перед этим ещё на isset проверять надо.

Давай по порядку.

Вот это на грани паранойи как минимум, а на самом деле попахивает методом тыка.

    $_COOKIE  = stripslashes_deep($_COOKIE);
    $_REQUEST = stripslashes_deep($_REQUEST);

Разве эти массивы используются скриптом? Явно лишнее телодвижение. Собственно как и эта проверка в функции:

       elseif ( !empty($value) && is_string($value) )

Дело в том, что все элементы суперглобальных массивов POST и GET имеют тип string, даже если там одни цифры.

В следующей строке обращение к несуществующему элементу:

$sql_insert="insert into names(name) values ('".mysql_real_escape_string($_POST['name'])."')";

Пока не нажата кнопка, $_POST['name'] отсутствует. В этом легко убедиться, включив максимльный уровень ошибок. Прописав первой строкой к примеру это:

    error_reporting(E_ALL);

Я понимаю, что денвер прощает такие вольности, но это очень плохая практика.

Следующий запрос не справтся с такими символами в имени: % и _, а это одно из ключевых условий задачи - все символы без исключений.

Тут не онял логики

$sql_url="SELECT id, name, date
			        FROM names 
					where id=".substr(strstr($_SERVER['REQUEST_URI'],"id="),3);

А почему не сразу из GET... Ну с логикой позже, пока грубые ошибки.

Здесь первая проверка лишняя

if (isset($_POST['add']) && !empty($_POST['name']))

Прелесть функции empty() в том, что она не генерирует нотис при отсутствии переменной. Однако при использовании её в данном контексте не пройдет имя 0(ноль), а это тоже ошибка.

Дальше пытались что-то поправить.

if (trim($_POST['name']))

грубое нарушение семмантики. Неинициализирована переменная - раз, функция trim() не возвращает булевых значений. Тогда уж нужно привести тип.

После редиректа:

		header("location: ".$_SERVER['PHP_SELF'])

скрипт желательно останавливать.

Дальше та же семмантика и невнятный $_SERVER['REQUEST_URI'] вместо GET

Остльное довольно сносно, но советую очень обратить внимание на стиль кодирования.

Насчет логики и выполнения условий пока не скажу - нужно ставить и тестить. А ставить это безобразие нет смысла. спрвляй.

twin
Давай я тебя подправлю по двум пунктам.
"Дело в том, что все элементы суперглобальных массивов POST и GET имеют тип string, даже если там одни цифры." за исключением массивов, хотя в их случае уже элементы массивов будут стринговые.

"error_reporting(E_ALL);" - правильнее error_reporting(-1);, до того, пока 5.4 php не вошла в обороты.

По первому вопросу - массивы отсекаются первой проверкой. Разумеется имелись ввиду конечные элементы.

По второму вопросу - с чего бы ради 5.4? Предопределенная константа E_ALL появилась за долго до этой ветки. И содержит она 30719, а вовсе не -1.

Чтобы включить вывод абсолютно всех ошибок, включая E_STRICT. Цитата из мануала:
"Passing in the value -1 will show every possible error, even when new levels and constants are added in future PHP versions. The E_ALL constant also behaves this way as of PHP 5.4."

А, вон ты про что. Ну это уже на любителя. Тут была уже небольшая полемика на эту тему. По мне, так E_STRICT - явный перебор. Хотя ты прав, для максимального уровня ошибок нужно и deprecadet ловить. Только -1 не радует, прозрачнее так:

error_reporting(E_ALL | E_STRICT);

Не знаю почему, но код не хочет обрамлятся тегами php

Их надо вручную,

[php][/php]

<? 
header("Content-Type: text/html; charset=utf-8"); 

$host='localhost';
$name='names';
$user='root';
$pass='';

@mysql_connect($host,$user,$pass);

@mysql_select_db($name);

if (get_magic_quotes_gpc())
{
    function stripslashes_deep($value)
    {
       if( is_array($value) )
       {
          $value = array_map('stripslashes_deep', $value);
       }
       return $value;
    }

    $_GET     = stripslashes_deep($_GET);
    $_POST    = stripslashes_deep($_POST);
}


$sql_all="SELECT id, name
			FROM names 
			ORDER by date desc";
			
$sql_url="SELECT id, name, date
			        FROM names 
					where id=".substr(strstr($_SERVER['REQUEST_URI'],"id="),3);	
	

if (isset($_POST['add']) && !empty($_POST['name']))  
{	
	$_POST['name']=trim($_POST['name']);
	if (!empty($_POST['name']))
	{
	    $sql_insert="insert into names(name) values ('".mysql_real_escape_string($_POST['name'])."')";
		mysql_query($sql_insert) or die ("error insert");
		header("location: ".$_SERVER['PHP_SELF']);
		exit;
	}
	else echo "<font color=red><b>Имя пользователя не должно содержать только пробелы</b></font><hr><br>";
}


if (strstr($_SERVER['REQUEST_URI'],"id="))
{
	$url=mysql_query($sql_url) or die ("error click");
	while ($row2=mysql_fetch_array($url)) 
	{
		echo "Пользователь <font color=green>".htmlspecialchars($row2['name'])."</font> добавлен ".$row2['date']."<br>";
	}
}

if (isset ($_GET['search']) && !empty($_GET['name_s']))
{
	$replace=str_replace('%','\%',$_GET['name_s']);
	$replace=str_replace('_','\_',$replace);
	$sql_search="SELECT name  
            FROM names
            WHERE name like '%".mysql_real_escape_string($replace)."%'";
	$search_query=mysql_query($sql_search) or die ("error search");
	while($row=mysql_fetch_array($search_query)) 
	{  	
		echo htmlspecialchars($row['name'])."<br>";
		$i++;
	}
	if ($i==0)
	{
		echo "<font color=red size=3><b>Пользователь с таким именем не зарегистрирован</b></font><br><hr>";
		$i=0;
	}	
	else echo "<hr>";
}

$all=mysql_query($sql_all) or die ("error select");

while($row1=mysql_fetch_array($all)) 
{  	
	echo "<a href=".$_SERVER['PHP_SELF']."?id=".$row1['id'].">".htmlspecialchars($row1['name'])."</a><br>";
}
	

?>

<form action="" method=POST>
Имя <br><input type=text name="name"><br>
<input type=submit name="add" value="Добавить">
</form>

<form action="" method=get>
<br>Поиск: <input type=text name="name_s" value="<? echo $_GET['name_s'];?>">
<input type=submit name="search" value="Поиск">
</form>

Стиль кодирования я ещё не правил. Вопрос по стилю: почему для отступа использовать пробелы, а не табуляцию?

наверное потому что табуляция везде отображается по разному

Shuriken
По правилам надо использовать ИЛИ-ИЛИ. Лично я использую табуляцию. Плохой тон - это перемешивать.

Вот это плохо:

	$_POST['name']=trim($_POST['name']);

Ты модифицируешь суперглобальный массив, а это не гоже.

Тут нотис:

<br>Поиск: <input type=text name="name_s" value="<? echo $_GET['name_s'];?>">

Ну и со стилем что-то нужно делать. А там и сам увидишь, где можно написать порациональнее. Вот тут к примеру:

	$replace=str_replace('%','\%',$_GET['name_s']);
	$replace=str_replace('_','\_',$replace);

А в целом уже совсем недурственно. :)

twin
Так можно писать?

        $replace = str_replace('_', '\_', (str_replace('%', '\%', $_GET['name_s'])));

Что такое нотис?

Что такое нотис? ошибка уровня E_NOTICE - о несуществующих индексах, переменных, об использовании в массивах строковых индексов без кавычек/апострофов. По умолчанию обычно отключено (E_ALL & ~E_NOTICE)

Если я рпавильно понял, то здесь:

<br>Поиск: <input type=text name="name_s" value="<? echo $_GET['name_s'];?>">

должна выскакивать ошибка? Но у меня значение поиска вставляется нормально, без искажений.

Включил нотисы, в поле поиска до нажатия кнопки Поиск выводилась ошибка, т.к. переменной $_GET['name_s'] не существовало ещё. Подправил. Но сейчас нотисы выводятся при поиске.

Вот скрипт:

<?  
    header("Content-Type: text/html; charset=utf-8");
    $host = 'localhost';
    $name = 'names';
    $user = 'root';
    $pass = '';
    @mysql_connect($host, $user, $pass);
    @mysql_select_db($name);
    
	error_reporting(E_ALL);
	
    if(get_magic_quotes_gpc())
    {
        function stripslashes_deep($value)
        {
            
            if(is_array($value))
            {
                $value = array_map('stripslashes_deep', $value);
            }
            return $value;
        }
        $_GET = stripslashes_deep($_GET);
        $_POST = stripslashes_deep($_POST);
    }
    $sql_all = "SELECT id, name 
            FROM names  
            ORDER by date desc";
    $sql_url = "SELECT id, name, date 
                    FROM names  
                    where id=". substr(strstr($_SERVER['REQUEST_URI'], "id="), 3);
    
    if(isset($_POST['add']) && !empty($_POST['name']))
    {
        $add = trim($_POST['name']);
        
        if(!empty($add))
        {
            $sql_insert = "insert into names(name) values ('".mysql_real_escape_string($add)."')";
            mysql_query($sql_insert) or die("error insert");
            header("location: ". $_SERVER['PHP_SELF']);
            exit;
        }
        else 
        {
            echo "<font color=red><b>Имя пользователя не должно содержать только пробелы</b></font><hr><br>";
        }
    }
    
    if(strstr($_SERVER['REQUEST_URI'], "id="))
    {
        $url = mysql_query($sql_url) or die("error click");
        while($row2 = mysql_fetch_array($url))
        {
            echo "Пользователь <font color=green>". htmlspecialchars($row2['name']) ."</font> добавлен ". $row2['date'] ."<br>";
        }
    }
    
    if(isset($_GET['search']) && !empty($_GET['name_s']))
    {
        $replace = str_replace('_', '\_', (str_replace('%', '\%', $_GET['name_s'])));
        $sql_search = "SELECT name   
            FROM names 
            WHERE name like '%".mysql_real_escape_string($replace)."%'";
        $search_query = mysql_query($sql_search) or die("error search");
        while($row = mysql_fetch_array($search_query))
        {
            echo htmlspecialchars($row['name']) ."<br>";
            $i++;
        }
        
        if($i == 0)
        {
            echo "<font color=red size=3><b>Пользователь с таким именем не зарегистрирован</b></font><br><hr>";
            $i = 0;
        }
        else 
        {
            echo "<hr>";
        }
    }
    $all = mysql_query($sql_all) or die("error select");
    while($row1 = mysql_fetch_array($all))
    {
        echo "<a href=". $_SERVER['PHP_SELF'] ."?id=". $row1['id'] .">". htmlspecialchars($row1['name']) ."</a><br>";
    }
?>

<form action="" method=POST>
Имя <br><input type=text name="name"><br>
<input type=submit name="add" value="Добавить">
</form>

<form action="" method=get>
<br>Поиск: <input type=text name="name_s" value="<? if(isset($_GET['search'])) echo $_GET['name_s'];?>">
<input type=submit name="search" value="Поиск">
</form>

Если данный пользователь есть в базе, то выводится список пользователей и такая ошибка:

Notice: Undefined variable: i in K:\home\localhost\www\twin\index.php on line 69

69-тая сторка это

$i++;

Если пользователя в базе нет, то

Notice: Undefined variable: i in K:\home\localhost\www\twin\index.php on line 72

72-ая строчка это

if($i == 0)

В чём ошибка?

Стиль подправил воспользовавшись данной ссылкой))))

Последний штрих, посмотри, что будет с обратным слэшем.

Кстати, зачем из функции stripslashes_deep() убрал stripslashes()?

Вот этого я так и не понял:

    $sql_url = "SELECT id, name, date 
                    FROM names  
                    where id=". substr(strstr($_SERVER['REQUEST_URI'], "id="), 3);

Чем не угодил просто GET?

И еще. Введи в поле поиска это:

$i = 0;

Заменил

$replace = str_replace('\\','\\\\',(str_replace('_', '\_', (str_replace('%', '\%', $_GET['name_s'])))));

на

$s=array ('_', '%', '\\');
$r=array ('\_', '\%', '\\\\');
$replace=str_replace($s, $r, $_GET['name_s']);

Вроде всё правильно, но _ заменяется на \\_, с % точно также. Что не так?