[PHP]Walidacja formularza, zabezpieczenie przed niechcianym kodem, prosiłbym o sprawdzenie Opcje

[!*!]

Mógłby ktoś wychwycić ewentualne błedy w zabezpieczeniu takiego formularza? Pytania w komętarzach:

[PHP] pobierz, plaintext 
<?php
$login = $_POST['login']; 
$login = stripslashes(mysql_real_escape_string(strtolower(trim($login))));
$login = ereg_replace('[^a-zA-Z0-9_]', '', $login); //tylko małe litery, liczby oraz _ ; A-Z jest w wypadku gdyby ktoś wpisał login z dużej litery.
 
//taki filtr na hasło wystarczy, które  i tak jest kodowane md5?
$haslo = mysql_real_escape_string($_POST['haslo']);
$haslo2 = mysql_real_escape_string($_POST['haslo2']);
 
$imie = ereg_replace('[^a-zA-ZąĄćĆęĘłŁńŃóÓśŚźŹżŻ]', '',$_POST['imie']); // znaki od aA do zZ, polskie
$nazwisko = ereg_replace('[^a-zA-ZąĄćĆęĘłŁńŃóÓśŚźŹżŻ-]', '',$_POST['nazwisko']); // znaki od a do z, polskie oraz myślink w wypadku naziwska dwuczłonowego.
 
$email = stripslashes(htmlspecialchars(trim($_POST['email']))); 
 
//$radio, $dzień, $miesiąc i $rok trzeba filtrować skoro to liczby z selecta? Jeśli tak to czym?
$dzien = $_POST['dzien'];
$miesiac = $_POST['miesiac']; 
$rok = $_POST['rok']; 
$dataurodzenia = ''.$rok.'-'.$miesiac.'-'.$dzien.'';
$radio = $_POST['plec'];
 
// $kraj, nazwa może być dwuczłonowa np. Wyspa Wielkanocna
$kraj = $_POST['kraj'];
$kraj = stripslashes(mysql_real_escape_string(trim($kraj)));
$kraj = ereg_replace('[^a-zA-Z]', '', $kraj); //tylko małe, duże
 
$wojewodztwo = $_POST['wojewodztwo'];
$wojewodztwo = stripslashes(mysql_real_escape_string(trim($wojewodztwo))); 
$wojewodztwo = ereg_replace('[^a-zA-ZąĄćĆęĘłŁńŃóÓśŚźŹżŻ-]', '',$wojewodztwo); // znaki od a do z, polskie oraz -
 
$miasto = $_POST['miasto']; 
$miasto = stripslashes(mysql_real_escape_string(trim($miasto))); 
$miasto = ereg_replace('[^a-zA-ZąĄćĆęĘłŁńŃóÓśŚźŹżŻ-]', '',$miasto); // znaki od a do z, polskie
?>
[PHP] pobierz, plaintext 

Sprawdzanie:

[PHP] pobierz, plaintext 
<?php
if (isset($_POST['sprawdz']))  
{ 
 
 
//weryfikacja loginu  
if(strlen($login)<4 or strlen($login)>20 or !eregi("^[a-zA-Z0-9_.]+$",$login)){
$error=1;$errorlogin = "<span class='error'>Akceptowany log: <br />- od 4 do 20 znaków bez polskich liter i spacji.</span>";}
if(!ereg_replace('[^a-z0-9_]', '', $login)){$error=1;$errorlogin = "<span class='error'>Login zawiera niedozwolone znaki.</span>";}
 
               
if (empty($haslo)) {$error=1;$errorhaslo = "<span class='error'>Wypełnij pole hasło</span>";}
 
if ($haslo != $haslo2) {$error=1;$errorhaslo = "<span class='error'>Podane hasła, nie są takie same.</span>";}
 
if (empty($imie)) {$error=1;$errorimie = "<span class='error'>Wypełnij pole imie.</span>";}
 
if(strlen($imie)<3 or strlen($imie)>64 or !eregi("^[a-zA-ZąćęłńóśżźĄĆĘŁŃÓŚŻŹ_.]+$",$imie)){$error=1;$errorimie = "<span class='error'>Imię musi mieć min. 3 litery, bez spacji.</span>";}
 
if (empty($nazwisko)) {$error=1;$errornazwisko = "<span class='error'>Wypełnij pole nazwisko.</span>";}
 
if(strlen($nazwisko)<3 or strlen($nazwisko)>64 or !eregi("^[a-zA-ZąćęłńóśżźĄĆĘŁŃÓŚŻŹ-]+$",$nazwisko)){$error=1;$errornazwisko = "<span class='error'>Nazwisko musi mieć min. 3 litery, bez spacji.</span>";}
 
if (empty($kraj)) {$error=1;$errorkraj = "<span class='error'>Wypełnij pole kraj.</span>";}
if (empty($wojewodztwo)) {$error=1;$errorwojewodztwo = "<span class='error'>Wypełnij pole województwo.</span>";}
if (empty($miasto)) {$error=1;$errormiasto = "<span class='error'>Wypełnij pole miasto.</span>";}
 
//weryfikacja maila 
if(!preg_match('|^[_a-z0-9.-]*[a-z0-9]@[_a-z0-9.-]*[a-z0-9].[a-z]{2,3}$|e', $email)){$error=1;$erroremail ="<span class='error'>Niepoprawny email</span>";} 
 
if ($radio =='1') {$errorradio = "checked='checked'";}
 
if ($radio =='2') {$errorradio2 = "checked='checked'";}
 
if (empty($radio)) {$error=1;$errorradio3 = "<span class='error'>Zaznacz odpowiednią opcję</span>";}
 
if ($token != $token2){$error=1;$errortoken = "<span class='error'>Przepisz kod poprawnie</span>";}
?>
[PHP] pobierz, plaintext 

Jak można w metaznakach ograniczyć możliwość zrobienia tylko jednej spacji ?

Ten post edytował !*! 13.09.2008, 03:29:31

[kazag]

Co do danych z selecta, ja osobiście wymuszam na nich typ (jeżeli są liczbowe, jeżeli również tekstowe, to filtruje), żeby ktoś mi jakimś cudem nie przesłał czegoś innego...

[Pilsener]

Raz robisz ereri, raz pregi - zdecyduj się! Najlepiej dziś robić wszystko na pregach.
Standardowo walidujesz:
- usuwasz kod HTML (htmlspecialchars, striptags)
- usuwasz niedozwolone znaki (addslashes)

I robisz tak DLA KAŻDEGO elementu tablicy post (nieważne, czy select czy radio) - co z tego, że na stronie masz selecta - to tylko interpretacja przeglądarki. Ja Ci mogę przez http wysłać tablicę $_POST['dzien'] zawierającą "urabura" od razu na serwer.

Pola:
imię - pierwsza litera duża, reszta małe, maksymalnie jedna spacja, minimum 3 znaki maksimum 20 - tak, żeby walidowało tylko imiona typu "Jan Maria" etc.
nazwisko - podobnie jak imię, tylko zamiast spacji myślnik
email - wiadomo - dodatkowo możesz dać listę akceptowalnych domen, np. @ab.cl, @qw.er
data - sprawdzaj, czy data jest poprawną datą gregoriańską (checkdate)
kraj i województwo - pierwsza litera duża etc - ja bym dał tu wybór z pola select albo chociaż sprawdzanie w bazie (czy kraj to nie jest ABC)

[!*!]

Ok, wyszło coś takiego:

[PHP] pobierz, plaintext 
<?php
session_start();
 
if (isset($_POST['sprawdz']))  
{ 
 
$login = $_POST['login']; 
$login = strip_tags(stripslashes(htmlspecialchars($login)));
#$login = ereg_replace('[^a-zA-Z0-9_ ]', '', $login); //tylko małe litery, liczby oraz _ ; A-Z jest w wypadku gdyby ktoś wpisał login z dużej litery.
 
echo 'pobrane prze: '.$_POST['login'].'<br />';
echo 'pobrane po: '.$login.'<br/>';
echo 'wysyła do baz: '.mysql_real_escape_string(trim($login)).'<br>';
 
//weryfikacja loginu 
if(preg_match("/[A-Z]/",$login)){$error=1;$errorlogin = "<span class='error'>Tylko małe litery.</span>";} //w przypadku pojawienia się dużych liter w wyrazie
if(preg_match("/[ ]/",$login)){$error=1;$errorlogin = "<span class='error'>Wpisz login bez spacji.</span>";} //usuwanie sapcji
if(preg_match("/[!@#$%^&*(){}-=+<>.~;\"'/]/",$login)){$error=1;$errorlogin = "<span class='error'>Login zawiera niedozwolone znaki.</span>";}
if(preg_match("/[ąĄćĆęĘłŁńŃóÓśŚźŹżŻ]/",$login)){$error=1;$errorlogin = "<span class='error'>Login nie może mieć polskich znaków.</span>";}
if(strlen($login)<4 or strlen($login)>20 or preg_match("[^a-z0-9_]",$login)){
$error=1;$errorlogin = "<span class='error'>Akceptowany logi: <br />- od 4 do 20 znaków bez polskich liter i spacji.</span>";}
?>
[PHP] pobierz, plaintext 

Teraz jest to odpowiednio zabezpieczone? I nie ma prawa wysłać czegoś niechcanego do bazy? echo dałem sobie aby sprawdzić czy jest dobrze.