|
||||||||||
| הרשם |  |
שאלות ותשובות | |
רשימת חברים | |
לוח שנה | |
הודעות מהיום | |
חיפוש | |
|
|||||||
 |
|
 |
|
|
כלים לאשכול | תצורת הצגה |
|
||||||||||
| הרשם | |
שאלות ותשובות | |
רשימת חברים | |
לוח שנה | |
הודעות מהיום | |
חיפוש | |
|
|||||||
|
|
|
|
|
כלים לאשכול | תצורת הצגה |
29-01-09, 21:56
|
# 11 |
|
חבר בקהילה
|
כן, ברור שאפשר יותר מהגנה אחת.
לשאלתך - mysql_real_escape_string מבריח ', ככה שעדיין אפשר היה להכניס לך XSS. |
|
|
29-01-09, 23:04
|
# 12 |
|
משתמש - היכל התהילה
|
כדאי מאוד להבין מה הן בעיות האבטחה וכך תוכל להבין איפה שייך להכניס איזה פונקציה,וגם לגלות סכנות נוספות.
בכללי,אם אתה רוצה למנוע הכנסת HTML, אתה משתמש בhtmlspacialchars(שזה גם לא לגמרי מאבטח בכל מצב) ואם אתה רוצה למנוע מאנשים להחדיר לך כל מיני דברים לשאילתות שלא אמורים להיות שם אתה משתמש בmysql_escape_string או מאמת שהמידע באמת מהסוג המתאים עריכה: לא יצא לי להשתמש בזה, אבל http://htmlpurifier.org/ אמור לתת לך נקיון יותר בטוח לHTML
__________________
קו ישר, כי אפשר גם אחרת Last edited by בניה; 29-01-09 at 23:07.. |
|
|
|
30-01-09, 13:06
|
# 13 |
|
חבר וותיק
|
תודה.
תראו, אני מכניס למסד נתונים, האופציה פתוחה לכולם, יש לי טופס שקולט את המשתנה ב POST, מכניס אותו למסד, ואז דף אחד מציג את הנתונים מהמסד. אני רוצה שלא יוכלו להכניס html ולא יוכלו להוסיף ' כלומר לבצע sql injection. אבל עושים sql injection רק ב get לא? כי מוסיפים ' בכתובת. אז האם אני צריך לאבטח POSTים ב htmlspacialchars וGETים ב mysql_real_escape_string, אני צודק? למשל id, שמוצג בכותרת אני מאבטח ב mysql_real_escape_string ואת הנתונים אני מקבל מטופס כמו העלאת מדריכים/חדשות/כל נתון אחר אז אני מעביר ב htmlspacialchars. עשיתי פה בלאגן שלם, וההם לא עדיף כל משתנה להעיבר ב 2 הפונקציות? סתם כדי לאבטח יותר או שזה לא יעיל? תודה.
__________________
מתכנת php אמין ומקצועי. מחירים נוחים! יצירת קשר: 0544378743 |
|
|
|
| חברים פעילים הצופים באשכול זה: 1 (0 חברים ו- 1 אורחים) | |
|
|
עבור למצב קווי
