Forum PHP.pl

Siemka. Mam pytanie. Czy dobrze zabezpieczyłem skrypt rejestracji przed ewentualnymi atakami ?

[PHP] pobierz, plaintext 
if ($_POST['klasa']==1){
	if (empty($_POST['login']) || empty ($_POST['klasa']) || empty($_POST['haslo']) || empty($_POST['email'])) echo 'Wypełnij wszystkie pola!';
	else
	{
		$login = htmlspecialchars(strip_tags($_POST['login']));
		$login2 = htmlspecialchars(strip_tags($_POST['login']));
		$klasa = htmlspecialchars(strip_tags($_POST['klasa']));
		$haslo = htmlspecialchars(strip_tags($_POST['haslo']));
		$email = htmlspecialchars(strip_tags($_POST['email']));
		if (!ctype_alnum($login) ) echo 'To nie jest poprawna nazwa użytkownika!';
		else if (! filter_var($email,FILTER_VALIDATE_EMAIL) ) echo 'To nie jest poprawny email!';
		else
		{
			if (row("SELECT id FROM users WHERE login = mysql_real_escape_string($login) OR email='.mysql_real_escape_string($email).'") ) echo 'Nazwa użytkownika/email jest już zajęta';
			else
			{
				addslashes(mysql_query("INSERT into users (login,haslo,email,klasa) VALUES ('$login',md5('$haslo'),'$email','$klasa')"));
				addslashes(mysql_query("INSERT into statystyki (login2,sila,szybkosc,inteligencja,zrecznosc,wytrzymalosc,uniki,obrazenia) VALUES ('$login2','9','5','6','4','7','4','25')"));
				echo 'Konto zostało założone!<br>';
				echo '<br>Zostałeś Wojownikiem!';
				echo '<br><a href="index.php">-Powrot</a><br> ';
			}
		}
	}
}
[PHP] pobierz, plaintext 

Kiedy przy dodawaniu zmiennych do bazy tutaj:

[PHP] pobierz, plaintext 
addslashes(mysql_query("INSERT into users (login,haslo,email,klasa) VALUES ('$login',md5('$haslo'),'$email','$klasa')"));
[PHP] pobierz, plaintext 

zamiast '$login' wpisuję '.mysql_real_escape_string($login).' wtedy do bazy zapisuje się np. .mysql_real_escape_string(maselko492). Nie wiem czy jest to potrzebne, gdy już wcześniej zmienną login przefiltrowałem na obecność kodu php i html, jednak proszę o poradę

1. addslashes(mysql_query( a co to za dziwadło... dodajesz slashe do TRUE/FALSE ?

[PHP] pobierz, plaintext 
 
$login = mysql_real_escape_string($login);
$email = mysql_real_escape_string($email);
$klasa = mysql_real_escape_string($klasa);
 
mysql_query("INSERT INTO users (login,haslo,email,klasa) VALUES ('$login',md5('$haslo'),'$email','$klasa')");
[PHP] pobierz, plaintext 

2. SELECT id FROM users WHERE login = mysql_real_escape_string($login) jest kodem PHP nie mysql, więc używaj go tak jak w pkt 1

3. Usuwanie html itp. używa się przy wyświetlaniu danych

[PHP] pobierz, plaintext 
if ($_POST['klasa']==1){
	if (empty($_POST['login']) || empty ($_POST['klasa']) || empty($_POST['haslo']) || empty($_POST['email'])) echo 'Wypełnij wszystkie pola!';
	else
	{
		$login = mysql_real_escape_string($login);
		$klasa = mysql_real_escape_string($klasa);
		$haslo = htmlspecialchars(strip_tags($_POST['haslo']));
		$email = mysql_real_escape_string($email);
		if (!ctype_alnum($login) ) echo 'To nie jest poprawna nazwa użytkownika!';
		else if (! filter_var($email,FILTER_VALIDATE_EMAIL) ) echo 'To nie jest poprawny email!';
		else
		{
			if (row("SELECT id FROM users WHERE login = mysql_real_escape_string($login) OR email='.mysql_real_escape_string($email).'") ) echo 'Nazwa użytkownika/email jest już zajęta';
			else
			{
				mysql_query("INSERT into users (login,haslo,email,klasa) VALUES ('$login',md5('$haslo'),'$email','$klasa')"));
				mysql_query("INSERT into statystyki (login2,sila,szybkosc,inteligencja,zrecznosc,wytrzymalosc,uniki,obrazenia) VALUES ('$login2','9','5','6','4','7','4','25')"));
				echo 'Konto zostało założone!<br>';
				echo '<br>Zostałeś Wojownikiem!';
				echo '<br><a href="index.php">-Powrot</a><br> ';
			}
		}
	}
}
[PHP] pobierz, plaintext 

Czyli jak jest tak to skrypt jest zabezpieczony tak ? Nie za bardzo zrozumiałem to 2.

Sory, że 2 post ale nie moge edytować. Czytałem, że addslashes() powinno się dawać przed dodawaniem jakiś rekordów do bazy, tylko nie miałem pojęcia jak to użyć ;p
Do tego $haslo = htmlspecialchars(strip_tags($_POST['haslo']));
też ma być mysql_real_escape_string($_POST['haslo'])); ?

Czyli jeśli jest np. zmienna:
$gracz = mysql_query("SELECT * FROM users WHERE id=$_SESSION[id]");
Nie trzeba stosować żadnych zabezpieczeń ? Tzn. czy są one potrzebne, gdy wywołujemy dane z bazy.

Refresh