הדרך הבטוחה ביותר לסנן הזרקות

[Eli-Hai]

אהלן, אני מנסה לקחת נתונים מ-$_POST ו-$_GET ולסנן אותם עד כמה שאפשר, אני מסנן עם strip_tags, כמה טובים הסיכויים להזרקות SQL אחרי סינון ב-strip_tags?

[-VladK-]

אני אישית לא מכיר את הפונקציה....תנסה את:
mysql_real_escape_string()

היא מעולה בשביל זה...

[sUP]

strip_tags לא אמור לסנן הזרקות,
הוא רק מסנן תגי HTML.

הפונקציה ש Pileman הביא לך זה אמור לסנן את ההזרקות..

[RS324]

ניסיתם לעבוד איתה כשאתם מציגים את המידע ב TEXTAREA ו INPUT ?

מהניסיון שלי אחת הדרכים היותר טובות למנוע הזרקות היא פשוט להפוך את כל התווים הבעייתים לקוד ASCII

[-VladK-]

השם הוא Pilmen !!!!!!!!!!!!!!!!!!!!!!!!!!!

ו....אהההם כן ניסיתי...מה הבעיה בדיוק עם ההצגה?
נכון שASCII יותר טוב אבל זה קצת מעצבן לעבור תו תו בעיתי =/

[RS324]

נכתב במקור על ידי Pilmen

השם הוא Pilmen !!!!!!!!!!!!!!!!!!!!!!!!!!!

ו....אהההם כן ניסיתי...מה הבעיה בדיוק עם ההצגה?
נכון שASCII יותר טוב אבל זה קצת מעצבן לעבור תו תו בעיתי =/

תעשה ניסויים ותראה...ופשוט מאד אתה עושה פונקציה ומפעיל אותו באופן גלובלי על POST ו GET וממיר לפני ההכנסה למסד.

[Oleg]

function sanitize($input)
{
if(get_magic_quotes_gpc())
{
$input = stripslashes($input);
}
return(mysql_real_escape_string($input));
}

mysql_real_string דורשת חיבור פעיל למסד... אז תקראו לה רק בין mysql_connect
וmysql_close

[Alon.R]

למה לקחת רק פונקציה אחת?

כמו שאמרו, הפונקציה סטריפ טאקס היא רק להתייחס לתגים האלה כטקסט ולא כתגיות HTML בפלט..

תשים סטריפ טאקס וגם mysql_real_escape_string ועוד מסננים, בכלל אפשר לקבץ הכל בפונקציה אחת שלך..

[נריה]

נגיד אתה יודע שאתה רוצה לקבל רק מספרים

PHP קוד:

$id = (int) $_GET['id']; 


סינון קטן וטוב לבדוק רק למספרים
וכמובן אם אתה רוצה שיהיה לך תווים זה מסנן תוי HTML

PHP קוד:

$page = htmlspecialchars($_GET['page']); 


[Eli-Hai]

htmlspecialchars משאיר את תגי ה-HTML במצב לא פעיל, עדיף לסנן אותם.
אני יודע בדיוק מה עושה strip_tags(), ולכן שאלתי אם זה מצריך עוד שיטה של סינון הזרקות, חוץ מהזרקות שונות בHTML.