PHP.SU

Программирование на PHP, MySQL и другие веб-технологии

PHP.SU Портал

Главная

Помощь

Поиск

Поиск Яндекс Вакансии

Пользователи

Здравствуйте, Гость

( Вход · Регистрация · Правила форума )

Забыли пароль?

Изменение запросов через пользовательскую функцию

Форумы портала PHP.SU » PHP » Программирование на PHP » Вопросы новичков (Модераторы: OrmaJever, Саныч, Строитель)

Страниц (2): [1] 2 »

Без описания

Поиск в теме | Версия для печати

DeUM	Отправлено: 18 Мая, 2013 - 11:20:54
Новичок Покинул форум Сообщений всего: 52 Дата рег-ции: Июль 2012 Помог: 0 раз(а)	Недавно мне порекомендовали использовать mysql_real_escape_string(), но она губит сам запрос Из этого: CODE (SQL): скопировать код в буфер обмена "SELECT * FROM `table` WHERE `login` = 'admin'" Она превращает в это: CODE (SQL): скопировать код в буфер обмена "SELECT * FROM `table` WHERE `login` = \'admin\'" Делая запрос невозможным. У меня имеется функция: PHP: скопировать код в буфер обмена function query__ ($que) { $res = @mysql_query($que); if (!$res) { echo mysql_error().'<br>'; return false; } else return $res; } Как реализовать защиту при помощи mysql_real_escape_string() и vsprintf() ?

Морозов Семен	Отправлено: 18 Мая, 2013 - 11:38:50
Гость Покинул форум Сообщений всего: 105 Дата рег-ции: Март 2012 Помог: 0 раз(а)	Я использую эту функцию для защиты форм ввода в связке с другими PHP: скопировать код в буфер обмена function sanitizeString($var) { $var = htmlspecialchars($var); $var = strip_tags($var); $var = htmlentities($var, ENT_QUOTES, "utf-8"); $var = stripslashes($var); $var = mysql_real_escape_string($var); return $var; } Пример использования: PHP: скопировать код в буфер обмена if (isset($_GET['words'])) {$search_words = sanitizeString($_GET['words']);} (Добавление) DeUM пишет: Из этого: CODE (SQL): скопировать код в буфер обмена "SELECT * FROM `table` WHERE `login` = 'admin'" Она превращает в это: CODE (SQL): скопировать код в буфер обмена "SELECT * FROM `table` WHERE `login` = \'admin\'" Делая запрос невозможным. При использовании mysql_real_escape_string() никогда такого не наблюдал.

esterio	Отправлено: 18 Мая, 2013 - 13:52:35
Активный участник Покинул форум Сообщений всего: 5025 Дата рег-ции: Нояб. 2012 Откуда: Украина, Львов Помог: 127 раз(а)	Морозов Семен Извините но ето плохая функция. данные в бд должны быть такие как на входе. Почему? Ваша функция мне затреть разметку с wysiwyg-редактора. А ето уже не хорошо. Там достаточно mysql_real_escape_string

LIME	Отправлено: 18 Мая, 2013 - 13:57:49
Активный участник Покинул форум Сообщений всего: 10732 Дата рег-ции: Нояб. 2010 Помог: 322 раз(а)	да что там...она просто откровенно глупая PHP: скопировать код в буфер обмена $que = 'SELECT * FROM `table` WHERE `login` = "'.mysql_real_escape_string($login).'"';

DeepVarvar	Отправлено: 18 Мая, 2013 - 14:12:35
Активный участник Покинул форум Сообщений всего: 10377 Дата рег-ции: Дек. 2008 Откуда: Альфа Центавра Помог: 353 раз(а)	esterio пишет: затреть разметку с wysiwyg-редактора Вот этот не затирает, но правда и не эскейпит. Эскейпит пусть тот, кто в базу пишет. ----- Шта? Репозиторий?

Морозов Семен	Отправлено: 18 Мая, 2013 - 14:24:43
Гость Покинул форум Сообщений всего: 105 Дата рег-ции: Март 2012 Помог: 0 раз(а)	esterio, LIME в смысле глупая?

LIME	Отправлено: 18 Мая, 2013 - 14:37:22
Активный участник Покинул форум Сообщений всего: 10732 Дата рег-ции: Нояб. 2010 Помог: 322 раз(а)	PHP: скопировать код в буфер обмена function sanitizeString($var) { $var = htmlspecialchars($var);//меняем все <> итд на мнемоники &lg $gt итд $var = strip_tags($var);//вырезаем теги хотя непонятно откуда они возьмутся раз мы их уже заменили $var = htmlentities($var, ENT_QUOTES, "utf-8");//все что осталось меняем к хренам на html-сущности!...включая мнемоники полученые в 1ой замене...УРААА!!! вперед до победного!!! $var = stripslashes($var);//хз откуда в этой каше возьмутся слэши(если были то они уже давно стали html-сущностями) но меняем и их...они хитрые и коварные...могли пролезть $var = mysql_real_escape_string($var);//есть кто еще живой после бомбежки?...выходи из сумрака! return $var;//еле живое непонятно что куда-то возвращается...интересно есть ф-ция для реанимации етого всего? }

DeepVarvar	Отправлено: 18 Мая, 2013 - 14:39:45
Активный участник Покинул форум Сообщений всего: 10377 Дата рег-ции: Дек. 2008 Откуда: Альфа Центавра Помог: 353 раз(а)	----- Шта? Репозиторий?

DeUM	Отправлено: 18 Мая, 2013 - 16:52:49
Новичок Покинул форум Сообщений всего: 52 Дата рег-ции: Июль 2012 Помог: 0 раз(а)	LIME, DeepVarvar как её в в функцию влепить вы всё смеётесь, но так и не понятно как это внедрить? Может есть какой-нибудь способ вытаскивать PHP: скопировать код в буфер обмена `login` = '?$login?' (Отредактировано автором: 18 Мая, 2013 - 16:53:38)

Мелкий	Отправлено: 18 Мая, 2013 - 17:21:21
Активный участник Покинул форум Сообщений всего: 11926 Дата рег-ции: Июль 2009 Откуда: Россия, Санкт-Петербург Помог: 618 раз(а)	DeUM, скажите, какой запрос правильный? CODE (SQL): скопировать код в буфер обмена SELECT * FROM `table` WHERE `login` = 'admin or 1' SELECT * FROM `table` WHERE `login` = 'admin' OR 1 А как функция понимать должна, где запрос, а где - аргумент? Оба запроса полностью корректны. mysql_real_escape_string должен применяться к данным, а не к запросу. Чтобы запрос не был изменён данными. PHP: скопировать код в буфер обмена "SELECT * FROM `table` WHERE `login` = '".mysql_real_escape_string($login)."'" Ну а нормальные люди используют mysqli или PDO и препарированные запросы. ----- PostgreSQL DBA

esterio	Отправлено: 18 Мая, 2013 - 17:49:14
Активный участник Покинул форум Сообщений всего: 5025 Дата рег-ции: Нояб. 2012 Откуда: Украина, Львов Помог: 127 раз(а)	LIME

DeUM	Отправлено: 18 Мая, 2013 - 18:29:15
Новичок Покинул форум Сообщений всего: 52 Дата рег-ции: Июль 2012 Помог: 0 раз(а)	Мелкий, задача заключается в том чтобы не дописывать при каждом обращении в БД mysql_real_escape_string() а делать это через функцию Мелкий пишет: А как функция понимать должна, где запрос, а где - аргумент? Оба запроса полностью корректны. Вот я и думал что можно как-нибудь разделить запрос и обрабатывать, что-то типа: PHP: скопировать код в буфер обмена function query__($qwe) { $qwe = preg_replace('\|\=\'(.*?)\'\|ixs', "='".mysql_real_escape_string('$1')."'",$qwe); $res = mysql_query($qwe); ... }

Морозов Семен	Отправлено: 18 Мая, 2013 - 18:41:15
Гость Покинул форум Сообщений всего: 105 Дата рег-ции: Март 2012 Помог: 0 раз(а)	LIME пишет: го? Зато какая безопасность, это ж ни один скрипт не пролезет)))))) Текст самое главное пролазит, а он то нам как раз и нужен))) (Добавление) LIME пишет: PHP: скопировать код в буфер обмена function sanitizeString($var) { $var = htmlspecialchars($var);//меняем все <> итд на мнемоники &lg $gt итд $var = strip_tags($var);//вырезаем теги хотя непонятно откуда они возьмутся раз мы их уже заменили $var = htmlentities($var, ENT_QUOTES, "utf-8");//все что осталось меняем к хренам на html-сущности!...включая мнемоники полученые в 1ой замене...УРААА!!! вперед до победного!!! $var = stripslashes($var);//хз откуда в этой каше возьмутся слэши(если были то они уже давно стали html-сущностями) но меняем и их...они хитрые и коварные...могли пролезть $var = mysql_real_escape_string($var);//есть кто еще живой после бомбежки?...выходи из сумрака! return $var;//еле живое непонятно что куда-то возвращается...интересно есть ф-ция для реанимации етого всего? } Зато какая безопасность, это ж ни один скрипт не пролезет)))))) Текст самое главное пролазит, а он то нам как раз и нужен)))

LIME	Отправлено: 18 Мая, 2013 - 18:43:39
Активный участник Покинул форум Сообщений всего: 10732 Дата рег-ции: Нояб. 2010 Помог: 322 раз(а)	а ты его посмотри в исходниках браузера волосы на голове зашевелятся (Добавление) а как туда пролезет такой текст? <><><> я знаю а ты?

Морозов Семен	Отправлено: 18 Мая, 2013 - 18:48:02
Гость Покинул форум Сообщений всего: 105 Дата рег-ции: Март 2012 Помог: 0 раз(а)	LIME пишет: а ты его посмотри в исходниках браузера волосы на голове зашевелятся Там всё нормально, а что там должно быть? (Добавление) LIME пишет: а ты его посмотри в исходниках браузера волосы на голове зашевелятся (Добавление) а как туда пролезет такой текст? <><><> я знаю а ты? ты имеешь ввиду в базу? так для этого случая есть BB-код например [p] заменяешь на <p>

Поиск в теме | Версия для печати

Страниц (2): [1] 2 »

Сейчас эту тему просматривают: 0 (гостей: 0, зарегистрированных: 0)

« Вопросы новичков »

Все гости форума могут просматривать этот раздел.
Только зарегистрированные пользователи могут создавать новые темы в этом разделе.
Только зарегистрированные пользователи могут отвечать на сообщения в этом разделе.