Защита от SQL инъекции - подмогните плз..

[dgek1111]

1. Все числовые значения надо проверять (число ли это)
Например функцией is_numeric()

2. Экранировать такие(') кавычки, или вырезать их из строки к чертовой матери.

Сообщение от Андрей Барыкин

Так что, если совсем охота защититься, можно еще проверять на наличие UNION в строке.

Это лишнее, если злоумышленник не сможет поставить кавычку в начале иньекции то и иньекции никакой не будет.

[Андрей Барыкин]

Сообщение от dgek1111

Это лишнее, если злоумышленник не сможет поставить кавычку в начале иньекции, то и иньекции никакой не будет.

Если параметр строковый, то да, требуется закрывающая кавычка.
Но если значение с клиента, тупо присоединяется к запросу и не является строкой(т.е. нет кавычек, например число), то кавычка не требуется для такой инъекции.
Поэтому, стоит проверять тип и длину значения с клиента,тогда такая инъекция не пройдет.

[pgolovko]

Сообщение от Йода

Собсно- подмогните плиз..

Я пропускаю инпут через вот такой маленький фильтр:

PHP код:

function clean_input($input){
    if(get_magic_quotes_gpc()){
        $input = stripslashes($input);
        }
    $input = strip_tags(html_entity_decode($input));
    return mysql_real_escape_string($input);
    } 


[Йода]

ага. спасибо!

[ahsinis]

Сообщение от pgolovko

Я пропускаю инпут через вот такой маленький фильтр:

PHP код:

function clean_input($input){
    if(get_magic_quotes_gpc()){
        $input = stripslashes($input);
        }
    $input = strip_tags(html_entity_decode($input));
    return mysql_real_escape_string($input);
    } 


а в чем сокраментальный смысл строки?

$input = strip_tags(html_entity_decode($input));

[Horrower]

htmlspecialchars или addslashes, предварительно проверив на get_magic_quotes_gpc()

а mysql_escape использует запрос к базе данных, так что это тока нагружает работу.

приводите типы, господа =)

[Йода]

вы Horrower немного не правы

string mysql_escape_string (string unescaped_string)
Эта функция мнемонизирует строку unescaped_string, чтобы её можно было передать функции mysql_query().


Примечание: mysql_escape_string() не мнемонизирует % и _.
Эта функция идентична mysql_real_escape_string(), но mysql_real_escape_string() принимает обработчик соединения и мнемонизирует строку в соответствии с текущим набором символов. mysql_escape_string() не принимает аргумент соединения и не учитывает установки текущего набора символов.

рил искейп обращается к бд, а просто искейп- нет.

[Horrower]

ну я имел ввиду оба, так что и прав и неправ )

[boombick]

Я предпочитаю использовать плейсхолдеры и PDO, гарантированно защищает от инъекций

[Anadonam]

кавычки удалять и всё - тогда ничего не будет.. (менять их на &quote код.. html) - дёшево и сердито