Защита от инжекции?

[sizif]

Здравейте!

Искам да попитам защитен ли съм от инжекции с код през формата като използвам htmlspecialchars(); за променливите, които извличам от нея?

В урока за сигурност и кавички Жоро препоръчва addslashes();, но тя създава твърде много усложнения при превъртане на низа за листване напр...

Има ли друга функция за кодиране, която мога да използвам, ако htmlspecialchars() не осигурява защита?

Предварително благодаря за отговорите!

 

[jooorooo]

htmlspecialchars() те защитава от инжекции при текстполетата, но помисли колко начина има още да речеме по линк например също е възможно ако ползваш GET. може да направиш проверка на GET преди да го ползваш, да речеме

$id= htmlspecialchars($_GET['id']);

друг метод е ако е по id да проверяваш дали е цифри. има много варянти за защита

 

[sizif]

Благодаря!

За ГЕТ не забравям, там използвам intval(); - урокът ти е много полезен.
Отскоро по свое усмотрение приех, че htmlspecialchars(); ме пази, но имах нужда от потвърждение...

Слабите ми места в защитата (поне тези, които успявам да видя) основно са били при формите.
Съвсем доскоро проверявах за специални символи и ги заменях или изобщо не ги допусках до скрипта, ако има такива, но ако при формата за логин символите могат да се ограничат, то за текстовите полета вече не е удобно, защото целта им все пак е да дадат възможност на потребителя да вкара без притеснения някакъв текст...

Благодаря за бързия отговор!
Точка от мен

ПП: Ако имаш възможност, продължи с този тип уроци за сигурността. Вярвам, че ще са от полза на много хора...

 

[mute]

сещам се и за функцията
mysql_real_escape_string
която според документацията трябва да предпазва точно от sql injection , доколко върши работа немога да кажа аз лично я използвах в моята логин система заедно с htmlspecialchars и се надявам да е достатачно.
А преди време ми препоръчаха и функцията sprintf която форматира низ, но несъм я използвал

 

[sizif]

Благодаря, mute!

Вече преглеждам линка!