אבטחה - SQL

[HOLD]

איך אני יכול לאבטח את השאילתות שלי יותר?

ככה הן נראות עכשיו:

PHP קוד:

$result=mysql_query("SELECT dText,fText FROM KK_Data WHERE Name='".mysql_escape_string($_GET['name'])."'"); 


יש דרך לעשות אותן יותר "קשיחות"?

תודה.

ועוד משהו,
איך עושים שה-php לא יציג שגיאות של sql ?

[stel222]

קודם כל תשנה את הפונקציה mysql_escape_string ל mysql_real_escape_string

[HOLD]

נכתב במקור על ידי stel222

קודם כל תשנה את הפונקציה mysql_escape_string ל mysql_real_escape_string

תודה, שיניתי.

יש עוד?

[Shay Ben Moshe]

אמממ בעקרון אין הרבה.
אני אישית הרבה פעמים מטפל במספרים לדוגמה בעזרת is_numeric (מערכים בעזרת is_array וכו'), אני בודק בעזרת mysql_num_rows שכמות התוצאות שונה מ0 ולפעמים עוד דברים בהתאם למקרה.

[AlmogBaku]

PHP קוד:

$q="SELECT * FROM `tbl` WHERE `str`='" . mysql_real_escape_string($str) . "' AND `int1`=" . intval($int1) . " AND `float1`=" . floatval($float1) . ";";
$r=mysql_query($q); 


דוגמא להכל פחות או יותר.

[אדיר]

נכתב במקור על ידי Baku

PHP קוד:

$q="SELECT * FROM `tbl` WHERE `str`='" . mysql_real_escape_string($str) . "' AND `int1`=" . intval($int1) . " AND `float1`=" . floatval($float1) . ";";
$r=mysql_query($q); 


דוגמא להכל פחות או יותר.

האמת שאתה לא אמור להפוך את הקלט למספר כמו שעשית פה, אתה אמור לוודא שהוא מספר.

[AlmogBaku]

נכתב במקור על ידי xPerfection

האמת שאתה לא אמור להפוך את הקלט למספר כמו שעשית פה, אתה אמור לוודא שהוא מספר.

תלוי בצרכים מן הסתם..
אבל יש הרבה פעמים שבהם אם המשתמש מנסה לרמות אז מבחינתי זו "בעיה שלו".

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

[Valred | OTM Group]

נכתב במקור על ידי Baku

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

חחחחחחחחחחחחח
קרעת אותי

[אדיר]

נכתב במקור על ידי Baku

תלוי בצרכים מן הסתם..
אבל יש הרבה פעמים שבהם אם המשתמש מנסה לרמות אז מבחינתי זו "בעיה שלו".

ותעיף את ה"מאבטח אתרים" מהחתימה שלך.

לא תלוי בשום צרכים, אתה אמור לאמת את הקלט ולא לשנות אותו.
ולמה בדיוק שאני אעיף את זה?

[Shay Ben Moshe]

נכתב במקור על ידי xPerfection

לא תלוי בשום צרכים, אתה אמור לאמת את הקלט ולא לשנות אותו.
ולמה בדיוק שאני אעיף את זה?

1+

אם הפלט לא תקני צריך להחזיר ארור למשתמש/להעביר לעמוד אחר או לטפל בזה בדרך כלשהי.
לא לשנות את הבעיה...