אבטחת האתר.

[morsrh]

שלום , אילו בדיקות נדרשות כדי להכניס למסד טקסט חופשי ללא שום סקנות או חששות חוץ משני הפונקציות האלו?
mysql_real_escape_string
htmlspecialchars
להריץ על הטקסט REGEX ? אם כן מה לבדוק?
תודה.

[AlmogBaku]

mysql_real_escape_string בלבד.

במידה ואתה רוצה למנוע מהפלט להציג HTML, בהדפסה אתה עושה htmlspecialchars

[Haimz]

אני מאבטח באמצעות הפונק הבאה (לפי מה שהבנתי, GET ו POST, אבל בPOST אני לא שם mysql_real_escape_String בכל מקרה תראה של GET )

PHP קוד:

function protectGET($string) {
  $way = "get"; // write POST or GET to protect
  if($way == "post") {
    $rem = $_POST[$string];
  } else {
    $rem = $_GET[$string];
  }
  $enc = strip_tags(mysql_real_escape_string(htmlspecialchars(trim($rem)));
  return $enc;
} 


[morsrh]

האבטחה של GET קשורה לאתר , איך אתה יוצר את הקישור וכו'.
טוב , הבנתי איך לאבטח POST , תודה.

[Shay Ben Moshe]

מה זה הקטע הזה של לעשות גם htmlspecialchars גם mysql_real_escape_string וגם strip_tags?????
אם אתה מגדיר לhtmlspecialchars את הארגומנט השני כENT_QUOTES אז הוא הופך את ה' ל', ואז הצורך בmysql_real_escape_string לא קיים, פשוט בדיקה כפולה ומיותרת. הstrip_tags מוחק את כל התגיות, אבל איך יכולות להיות תגיות אם הפעלת את הhtmlspecialchars.

לגבי trim, אני לא חושב שתמיד באמת יש צורך בזה, לכן אני לא יודע עד כמה זה חכם לשים את זה מובנה בפונקציה.

[AlmogBaku]

לא עושים בכלל החלפה של תווים בשמירה למסד!! למסד הנתונים צריכים להיות מוכנסים כמו שהם(דהיינו רק אסקייפינג(כדי למנוע שגיאות או הזרקות)).
ההגנות מפני XSS צריכות להתבצע בהדפסה בלבד.

מצב היפוטטי:
--
נתתי למשתמש להכניס עריכה של תוכן, עשיתי החלפה של תווים(htmlenteties || htmlspeacialchars) ושוב החלטתי לערוך- הנתונים שאקבל יכולים להיות פריקיים!

[Erez | TrustMedia.co.il]

נכתב במקור על ידי Baku

לא עושים בכלל החלפה של תווים בשמירה למסד!! למסד הנתונים צריכים להיות מוכנסים כמו שהם(דהיינו רק אסקייפינג(כדי למנוע שגיאות או הזרקות)).
ההגנות מפני XSS צריכות להתבצע בהדפסה בלבד.

מצב היפוטטי:
--
נתתי למשתמש להכניס עריכה של תוכן, עשיתי החלפה של תווים(htmlenteties || htmlspeacialchars) ושוב החלטתי לערוך- הנתונים שאקבל יכולים להיות פריקיים!

אז פשוט אפשר להמיר בחזרה לHTML כשרוצים עם htmlspecialchars_decode..

[Shay Ben Moshe]

Baku, אני דווקא מעדיף בד"כ להכניס את כל הנתונים עם htmlspecialchars. אני לא דואג להSQLI בגלל שאני משתמש רק בPDO ובPREPARED STATEMENTS אז הבעיה בכלל לא קיימת, ונח מאוד לעבוד עם נתונים שהם במסד ככה.

[AlmogBaku]

אז יש סיכוי מאוד גדול שבעתיד תתחרט על דרך העבודה שלך

הרעיון הוא לא לעבוד לפי איך שנוח לנו דאווקה, אלא לפי מה שיותר לוגי =]

[BlueNosE]

נכתב במקור על ידי Baku

אז יש סיכוי מאוד גדול שבעתיד תתחרט על דרך העבודה שלך

הרעיון הוא לא לעבוד לפי איך שנוח לנו דאווקה, אלא לפי מה שיותר לוגי =]

אני דווקא מסכים עם שי, אם שדה מסויים מיועד וייועד בעתיד לפונקציונליות מסויימת למה לא לשמור מראש מוגן? אני מדבר לדוגמא על "שם משתמש" או על שדה "מקום ילדות אהוב" שהמשתמש יכול למלא. אין סיבה שיהיה לזה שימוש חוץ משימוש מאובטח, לא?