PHP.SU

Программирование на PHP, MySQL и другие веб-технологии

PHP.SU Портал

Главная

Помощь

Поиск

Поиск Яндекс Вакансии

Пользователи

Здравствуйте, Гость

( Вход · Регистрация · Правила форума )

Забыли пароль?

Фильтрация входных данных

Форумы портала PHP.SU » PHP » Программирование на PHP » Хранение данных, их вывод и обработка (Модераторы: OrmaJever, Саныч)

Страниц (1): [1]

Описание: вопрос безопасности

Поиск в теме | Версия для печати

Зверь	Отправлено: 26 Ноября, 2011 - 10:07:53
Частый гость Покинул форум Сообщений всего: 243 Дата рег-ции: Окт. 2011 Помог: 7 раз(а)	Здравствуйте! Интересует вот такая написанная функция PHP: скопировать код в буфер обмена function clear($data){ $data = stripslashes($data); $data = strip_tags($data); $data = trim($data); $data = htmlspecialchars($data, ENT_QUOTES); return $data; } Вопрос, возможно ли ее как-то обойти? Есть ли у нее минусы? Может ли она пропустить sql-инъекцию или какую-то еще? В нее постом приходит некий текст, она его фильтрует и после текст добавляется в БД выводится в браузер. Если есть решение лучше, подскажите пожалуйста (Отредактировано автором: 26 Ноября, 2011 - 10:09:11)

Мелкий	Отправлено: 26 Ноября, 2011 - 10:29:49
Активный участник Покинул форум Сообщений всего: 11926 Дата рег-ции: Июль 2009 Откуда: Россия, Санкт-Петербург Помог: 618 раз(а)	Использовать можно. При том, одной htmlspecialchars достаточно. Правда, штатной функцией экранирования базы данных лучше тоже прогонять, ей лучше знать, что ещё экранировать надо. Ну а stripslashes лучше применять только в условии: PHP: скопировать код в буфер обмена if (get_magic_quotes_gpc()) $data = stripslashes($data); Т.к. корректно работает только с уже проэкранированными данными. ----- PostgreSQL DBA

Зверь	Отправлено: 26 Ноября, 2011 - 10:50:16
Частый гость Покинул форум Сообщений всего: 243 Дата рег-ции: Окт. 2011 Помог: 7 раз(а)	Спасибо Использую PDO И, как понял, то при использовании подготовленных запросов все слешится само(Прав?). (Отредактировано автором: 26 Ноября, 2011 - 11:08:46)

Мелкий	Отправлено: 26 Ноября, 2011 - 11:03:13
Активный участник Покинул форум Сообщений всего: 11926 Дата рег-ции: Июль 2009 Откуда: Россия, Санкт-Петербург Помог: 618 раз(а)	Там вообще механизм другой передачи значений, экранирование и не нужно. ----- PostgreSQL DBA

Зверь	Отправлено: 26 Ноября, 2011 - 11:09:31
Частый гость Покинул форум Сообщений всего: 243 Дата рег-ции: Окт. 2011 Помог: 7 раз(а)	И еще вопросец Как лучше хранить данные: фильтровать и добавлять в базу или добавлять и при выводе фильтровать?

Мелкий	Отправлено: 26 Ноября, 2011 - 11:53:28
Активный участник Покинул форум Сообщений всего: 11926 Дата рег-ции: Июль 2009 Откуда: Россия, Санкт-Петербург Помог: 618 раз(а)	В общем-то, если не нужен оригинал данных - то сначала обрабатывать. ----- PostgreSQL DBA

xhugo	Отправлено: 29 Ноября, 2011 - 21:42:35
Посетитель Покинул форум Сообщений всего: 357 Дата рег-ции: Дек. 2010 Помог: 1 раз(а)	1) нет. но достаточно и htmlspecialchars(strip_tags($param)); 2) конечно же сначало фильтровать, а потом только добавлять. и такая функция не спасет при добавление данных в базу

animen	Отправлено: 19 Февраля, 2012 - 15:25:38
Новичок Покинул форум Сообщений всего: 13 Дата рег-ции: Июль 2011 Помог: 0 раз(а)	Подскажите, а вот такая функция проверки данных перешедших из формы от пользователя будет лучше и надежнее, чем функция в начале темы? То есть очистит ли это поступающие данные перед сохранение в БД и предотвратит ли это от стандартных sql инъекций? CODE (htmlphp): скопировать код в буфер обмена function clear($in,$error=0) { $in = trim($in); if (strlen($in)) { $in = htmlspecialchars($in); $in = preg_replace('/&(\#[0-9]+;)/','&$1',$in); } elseif ($error) { return false; } if (!ini_get('magic_quotes_gpc')) { if (!is_array($in)) $in = addslashes($in); else $in = hesk_slashArray($in); } return $in; }

Tox	Отправлено: 19 Февраля, 2012 - 19:47:47
Посетитель Покинул форум Сообщений всего: 314 Дата рег-ции: Нояб. 2011 Откуда: Россия Помог: 0 раз(а)	Оч интересная тема, а здесь(http://www.php.su/functions/?strip_tags) опечатка: Для удаления тэго используется (извините за оффтоп, однако по теме ) ----- In Console We Trust. Code hard. Or die.

Поиск в теме | Версия для печати

Страниц (1): [1]

Сейчас эту тему просматривают: 0 (гостей: 0, зарегистрированных: 0)

« Хранение данных, их вывод и обработка »

Все гости форума могут просматривать этот раздел.
Только зарегистрированные пользователи могут создавать новые темы в этом разделе.
Только зарегистрированные пользователи могут отвечать на сообщения в этом разделе.