обработка данных с целью защиты

1 вопрос. как обрабатывать введенные пользователем данные, что бы он не смог совешить sql иньекцию или каким то другим способом нарушить работу скрипта или даже всего проекта...
2 вопрос. какие уязвимости сессий? и как их устранить?

http://www.php.su/functions/?mysql_escape_string
(Добавление)
http://www.php.su/functions/?strip_tags
или
http://www.php.su/functions/?htmlspecialchars

(Отредактировано автором: 30 Июля, 2011 - 14:05:41)

Bio man, какой драйвер php используете для работы с БД???
Если PDO или mysqli, то для защиты от sql инъекций используйте подготовленные выражения.
Если используете старую версию драйвера, используйте mysql_real_escape _string()

Также проверяйте тип данных, анпример, если в запросе используете число,пользуйтесь функцией is_numeric () для проверки.
Здесь есть хорошая статья по защите от инъекций, там в основном для старого драйвера mysql http://phpfaq[dot]ru/slashes


Для проверки данных от пользователей и удаления нежелательных данных могут подойти htmlspecialchars() и strip_tags()


Ещё хочу спросить у знатоков, защищают ли полностью подготовленные выражения от SQL инъекций???

(Отредактировано автором: 30 Июля, 2011 - 14:11:38)

-----
http://rulevoi[dot]net - запчасти для иномарок в Ижевске

koka, да хрен его знает, стоит денвер на локалки. спасибо за ответы, будет над чем поработать
(Добавление)
пока такое понимание: число надо проверять или присваивать соответствующий тип данных. строки надо экранировать.
а теперь по экранированию. как? какую функцию использовать или использовать все ф-ции экранирования к проверяемой строке?
а то пишут: используйте это, это или это! а я че программист с 10 летним стажем, от куда мне знать что именно надо!? по мне так что strip_tags(), что htmlentities(), что htmlspecialchars() и другие, почти что одинаковы

(Отредактировано автором: 30 Июля, 2011 - 14:50:35)

Bio man, ты как соединяешься с БД??? используешь mysql_connect() ???

-----
http://rulevoi[dot]net - запчасти для иномарок в Ижевске

Да, сборку запроса осуществляется уже при участии БД, так что она знает, что именно является данными, а что управляющими словами.

mysql_pconnect()

Bio man, если есть желание, изучи PDO или mysqli. Как сказали выше, использование подготовленных выражений защитит от SQL инъекциий. Для начала можешь почитать эту статью "Почему следует использовать PDO для доступа к базам данных?" http://ruseller[dot]com/lessons.php?[dot][dot][dot]ub=28&id=610

(Отредактировано автором: 01 Августа, 2011 - 15:52:28)

-----
http://rulevoi[dot]net - запчасти для иномарок в Ижевске