אבטחה - SQL

[HOLD]

איך אני יכול לאבטח את השאילתות שלי יותר?

ככה הן נראות עכשיו:

PHP קוד:

$result=mysql_query("SELECT dText,fText FROM KK_Data WHERE Name='".mysql_escape_string($_GET['name'])."'"); 


יש דרך לעשות אותן יותר "קשיחות"?

תודה.

ועוד משהו,
איך עושים שה-php לא יציג שגיאות של sql ?

[stel222]

קודם כל תשנה את הפונקציה mysql_escape_string ל mysql_real_escape_string

[HOLD]

נכתב במקור על ידי stel222

קודם כל תשנה את הפונקציה mysql_escape_string ל mysql_real_escape_string

תודה, שיניתי.

יש עוד?

[Shay Ben Moshe]

אמממ בעקרון אין הרבה.
אני אישית הרבה פעמים מטפל במספרים לדוגמה בעזרת is_numeric (מערכים בעזרת is_array וכו'), אני בודק בעזרת mysql_num_rows שכמות התוצאות שונה מ0 ולפעמים עוד דברים בהתאם למקרה.

[AlmogBaku]

PHP קוד:

$q="SELECT * FROM `tbl` WHERE `str`='" . mysql_real_escape_string($str) . "' AND `int1`=" . intval($int1) . " AND `float1`=" . floatval($float1) . ";";
$r=mysql_query($q); 


דוגמא להכל פחות או יותר.

[אדיר]

נכתב במקור על ידי Baku

PHP קוד:

$q="SELECT * FROM `tbl` WHERE `str`='" . mysql_real_escape_string($str) . "' AND `int1`=" . intval($int1) . " AND `float1`=" . floatval($float1) . ";";
$r=mysql_query($q); 


דוגמא להכל פחות או יותר.

האמת שאתה לא אמור להפוך את הקלט למספר כמו שעשית פה, אתה אמור לוודא שהוא מספר.

[AlmogBaku]

נכתב במקור על ידי xPerfection

האמת שאתה לא אמור להפוך את הקלט למספר כמו שעשית פה, אתה אמור לוודא שהוא מספר.

תלוי בצרכים מן הסתם..
אבל יש הרבה פעמים שבהם אם המשתמש מנסה לרמות אז מבחינתי זו "בעיה שלו".

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

[Valred | OTM Group]

נכתב במקור על ידי Baku

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

חחחחחחחחחחחחח
קרעת אותי

[אדיר]

נכתב במקור על ידי Baku

תלוי בצרכים מן הסתם..
אבל יש הרבה פעמים שבהם אם המשתמש מנסה לרמות אז מבחינתי זו "בעיה שלו".

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

לא תלוי בשום צרכים, אתה אמור לאמת את הקלט ולא לשנות אותו.
ולמה בדיוק שאני אעיף את זה?

[Tomer]

לא על כל שטות צריך להעיף למשתמש הודעת שגיאה / להרוג את הסקריפט.

אם המשתמש הכניס כמה אותיות ומספר בתור מס' עמוד, והקלט מהמשתמש עבר סינון כלשהו ע"י mysql_real_escape_string לדוגמא, אין צורך לזרוק שגיאה שהוא לא הכניס מס'. פשוט לחפש את מה שהוא הכניס במסד, בדיוק כאילו היה מס', ולזרוק שגיאה אם מס' העמוד לא נמצא (ובמידה ויש רק מספרים - תזרק שגיאה בכ"מ, כי אין עמוד עם אותיות).