[עזרה] הגנה מפני SQL INJECTION וכו...

[Saint]

אני כרגע בונה מערכת פורומים שתשוחרר בקרוב, ואני רוצה שהיא תהיה ממש מאובטחת...
ואני צריך מספר דרכים בכדי להגן מפני הזרקת מידע... והגנה על משתנים...

[miniature]

mysql_escape_string
mysql_real_escape_string
add_slashes
ויש עוד כמה שאני לא זוכר כרגע..

[Distortion]

כל מה שרצית לדעת על SQL Injection.

[drowkid]

PHP קוד:

function no_inc($str)
{
$str = str_replace('"', '&#34"', $str);
$str = str_replace("'", "&#39", $str);
$str = str_replace("`", "&#96", $str);

$str = str_replace('(', '&#40"', $str);
$str = str_replace(")", "&#41", $str);

$str = str_replace(";", "&#59", $str);

return $str;
} 


היה לי משעמם

[mlnn]

נכתב במקור על ידי drowkid

PHP קוד:

function no_inc($str)
{
$str = str_replace('"', '&#34"', $str);
$str = str_replace("'", "&#39", $str);
$str = str_replace("`", "&#96", $str);

$str = str_replace('(', '&#40"', $str);
$str = str_replace(")", "&#41", $str);

$str = str_replace(";", "&#59", $str);

return $str;
} 


היה לי משעמם

lol
htmlspecialchars()

[drowkid]

אני יודע... יש מלא דרכים...

[eLad]

נכתב במקור על ידי drowkid

PHP קוד:

function no_inc($str)
{
$str = str_replace('"', '&#34"', $str);
$str = str_replace("'", "&#39", $str);
$str = str_replace("`", "&#96", $str);

$str = str_replace('(', '&#40"', $str);
$str = str_replace(")", "&#41", $str);

$str = str_replace(";", "&#59", $str);

return $str;
} 


היה לי משעמם

הפונקציה שלך די מיותרת במקרים רבים. למשל במקרה שבו צריך להכניס למסד מספר. אין טעם לרוץ על הכל ולהחליף תווים, מספיק תנאי פשוט "האם X מספר - כן? תוסיף למסד. לא? תחזיר שגיאה".

גם כשעוסקים בהכנסת מחרוזת למסד, צריך להחליף ולטפל בעוד כמה תווים שעלולים לגרום נזק, כמו למשל: & או < או >.