הוסטס - פורום אחסון האתרים הגדול בישראל - בדיקת תקינות לפני הכנסה למסד SQL

- פורום תיכנות (https://hosts.co.il/forums/forumdisplay.php?f=14)

- - בדיקת תקינות לפני הכנסה למסד SQL (https://hosts.co.il/forums/showthread.php?t=37951)

בדיקת תקינות לפני הכנסה למסד SQL

יש הרבה פונקציות ב PHP שמגנות על מסד ועל קוד PHP מפני כתיבה של HTML,תווים כמו ",' וכו..
אז רציתי לשאול איזה פקודה לדעתכם מגנה הכי טוב מפני דברים כאלה?..

לדעתי פקודה אחת לא מספיקה הייתי הולך על פונקציה שבניתי מזמן שאני משתמש בה כל הזמן:

PHP קוד:


		
			
    function fixString( $string ){
        $string = str_replace( '&amp;'  , '&', $string );
        $string = str_replace( ''' , ''', $string );
        $string = str_replace( '&quot;' , '"', $string );
        $string = htmlspecialchars( $string); 
        $string = trim($string); 
        return $string;
    }

** הפונקציה גם מורידה רווחים כפולים ככה שאם אתה רוצה לבטל את זה תוריד את הtrim

ציטוט:

נכתב במקור על ידי nevo (פרסם 405680)

לדעתי פקודה אחת לא מספיקה הייתי הולך על פונקציה שבניתי מזמן שאני משתמש בה כל הזמן:

PHP קוד:


		
			
    function fixString( $string ){

        $string = str_replace( '&amp;'  , '&', $string );

        $string = str_replace( ''' , ''', $string );

        $string = str_replace( '&quot;' , '"', $string );

        $string = htmlspecialchars( $string); 

        $string = trim($string); 

        return $string;

    }

** הפונקציה גם מורידה רווחים כפולים ככה שאם אתה רוצה לבטל את זה תוריד את הtrim

אוקי תודה עוד הצעות..

אני אוהב להשתמש ב-strip_tags().

אני אישית יוצר פונקציה אחת שמרכזת הרבה פונקציות...כאילו זה לא טוב להשתמש רק באחת כי כל פונקציה מטפלת במקרה יחיד...

ציטוט:

נכתב במקור על ידי nevo (פרסם 405680)

לדעתי פקודה אחת לא מספיקה הייתי הולך על פונקציה שבניתי מזמן שאני משתמש בה כל הזמן:

PHP קוד:


		
			
    function fixString( $string ){

        $string = str_replace( '&amp;'  , '&', $string );

        $string = str_replace( ''' , ''', $string );

        $string = str_replace( '&quot;' , '"', $string );

        $string = htmlspecialchars( $string); 

        $string = trim($string); 

        return $string;

    }

** הפונקציה גם מורידה רווחים כפולים ככה שאם אתה רוצה לבטל את זה תוריד את הtrim

למה להפוך סימני HTML לתוים אמיתיים, ואז להחזיר אותם בחזרה לתוי HTML עם htmlspecialchars ?

עד היום השתמשתי רק ב mysql_real_escape_string
שזה מסדר לך הכל, ואם אתה רוצה להיות מסודר, תשתמש בquote_smart הבא:

PHP קוד:


		
			
function quote_smart($value)

{

   // Stripslashes

   if (get_magic_quotes_gpc()) {

       $value = stripslashes($value);

   }

   // Quote if not a number or a numeric string

   if (!is_numeric($value)) {

       $value = "'" . mysql_real_escape_string($value) . "'";

   }

   return $value;

}