Forum PHP.pl

Czy takie coś pozwoli mi się zabezpieczyć przed SQL Inj.. ?

[PHP] pobierz, plaintext 
<?php
function sqlesc($x) {
    return mysql_real_escape_string($x);
}
 
function strip_magic_quotes($arr)
{
    foreach ($arr as $k => $v){
        if (is_array($v)){ 
            $arr[$k] = strip_magic_quotes($v); 
        }
        else{ 
            $arr[$k] = stripslashes($v); 
        }
    }    
    return $arr;
}
 
if (get_magic_quotes_gpc())
{
    if (!empty($_GET)) { $_GET = strip_magic_quotes($_GET); }
    if (!empty($_POST)) { $_POST = strip_magic_quotes($_POST); }
    if (!empty($_COOKIE)) { $_COOKIE = strip_magic_quotes($_COOKIE); }
}
 
 
// addslashes to vars if magic_quotes_gpc is off
// this is a security precaution to prevent someone
// trying to break out of a SQL statement.
//
 
if( !get_magic_quotes_gpc() )
{
    if( is_array($_GET) ){
        while( list($k, $v) = each($_GET) ) {
            if( is_array($_GET[$k]) ){
                while( list($k2, $v2) = each($_GET[$k]) ){
                    $_GET[$k][$k2] = addslashes($v2);
                }
                @reset($_GET[$k]);
            }
            else {
                $_GET[$k] = addslashes($v);
            }
        }
        @reset($_GET);
    }
    
    if( is_array($_POST) ){
        while( list($k, $v) = each($_POST) ){
            if( is_array($_POST[$k]) ){
                while( list($k2, $v2) = each($_POST[$k]) ){
                    $_POST[$k][$k2] = addslashes($v2);
                }
                @reset($_POST[$k]);
            }
            else{
                $_POST[$k] = addslashes($v);
            }
        }
        @reset($_POST);
    }
    
    if( is_array($_COOKIE) ){
        while( list($k, $v) = each($_COOKIE) ){
            if( is_array($_COOKIE[$k]) ){
                while( list($k2, $v2) = each($_COOKIE[$k]) ){
                    $_COOKIE[$k][$k2] = addslashes($v2);
                }
                @reset($_COOKIE[$k]);
            }
            else{
            $_COOKIE[$k] = addslashes($v);
            }
        }
        @reset($_COOKIE);
    }
}
?>
[PHP] pobierz, plaintext 

a dodawanie/update do bazy robić tak:

[PHP] pobierz, plaintext 
<?php
"UPDATE ...... SET `cos`='".sqlesc($_GET['blabla']."'..."
?>
[PHP] pobierz, plaintext 

wyświetlenie wyników już na stronę z htmlspecialchars" title="Zobacz w manualu PHP" target="_manual

i jak, takie coś może być?

Ten post edytował robos85 30.09.2008, 13:33:51

Na forum jest cały temat poświęcony SQL injection poszukaj i poczytaj a nie bedziesz zadawał więcej takich pytań

Zadziała, ale dajesz tego za dużo, wystarczy samo mysql_real_escape_string