популярные дырки, допускаемые разработчиками
- Автор темы zaartix
- Дата начала
- Статус
K
Kokos_23
Прохожие
morgan_spb
Постоялец
- Регистрация
- 15 Сен 2006
- Сообщения
- 55
- Реакции
- 1
интересно а у кого-нибудь есть готовый класс mysql с защитой от иньекции?zaartix написал(а):
пол сети обрыл ничего приличного не нашел
- Заблокирован
- #5
здесь основы более чем доходчево даны..
Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.
А ссылку на этот сайт можно? лично я знаю, что если поступающие в запрос данные в кавычки не включаются, то стрипслешем ничего не решить. В противном случае он нормально работает.
N
Nemesis
Прохожие
Посмотри на это: hччp://damagelab.org/dlsecure/, может подойдёт
.
K
keatlon
Прохожие
mysql_escape_string - слеширует все опасные символы, по поводу класса я бы посоветовал людям забыть такой стиль как
mysql_query('SELECT * FROM users WHERE user_id ='.addslashes($userId);
вам всегда надо помнить о наличии addslashes, помнить о том чтобы не заслешировать дважды и при этом всем никто не даст гаранти что гдето случайно, по ошибке забыл заюзать.
Копайте параметризированные запросы, для PHP это PDO интерфейс (хотя можно написать и свой), если вкратце и схематично то запрос будет выглядет так
$stmt = $dbh->prepare("SELECT * FROM users WHERE user_id = ?");
$stmt->bindParam(1, $userId, PDO:
ARAM_INT);
$stmt->execute();
теперь запрос безопасен вне зависимости от того что внутри $userId
преимущества такого подхода очевидны
- безопасное выполнение запросов
- логгирование уникальных запросов проекта (так как теперь вместо параметров только плейсхолдеры)
- лучшее восприятие запроса визуально
- удобный контроль над параметрами (тип, длина)
и другое..
mysql_query('SELECT * FROM users WHERE user_id ='.addslashes($userId);
вам всегда надо помнить о наличии addslashes, помнить о том чтобы не заслешировать дважды и при этом всем никто не даст гаранти что гдето случайно, по ошибке забыл заюзать.
Копайте параметризированные запросы, для PHP это PDO интерфейс (хотя можно написать и свой), если вкратце и схематично то запрос будет выглядет так
$stmt = $dbh->prepare("SELECT * FROM users WHERE user_id = ?");
$stmt->bindParam(1, $userId, PDO:
ARAM_INT); $stmt->execute();
теперь запрос безопасен вне зависимости от того что внутри $userId
преимущества такого подхода очевидны
- безопасное выполнение запросов
- логгирование уникальных запросов проекта (так как теперь вместо параметров только плейсхолдеры)
- лучшее восприятие запроса визуально
- удобный контроль над параметрами (тип, длина)
и другое..
- Статус