[PHP][PDO] Czy potrzeba zabezpieczać zmienne, od użytkownika ?. Opcje

[Giluś]

Cześć, mam taki kod:

[PHP] pobierz, plaintext 
if(isset($_POST['username']))
{
$username = mysql_real_escape_string($_POST['username']);
						$zajety = $pdo -> prepare('SELECT id FROM `users` WHERE `login` = :login');
                        $zajety -> bindValue(':login', $username, PDO::PARAM_STR);
                        $zajety -> execute();
						$count = $zajety->rowCount();
							if($count > 0)	{echo 'OK';}
							else {
									$lang = (empty($_SESSION['lang'])) ? 'pl' : $_SESSION['lang'];
									require('./Joker/language/'.$lang.'/logowanie.inc.php'); 
									$tpl = new \Joker\Tpl\Engine('./templates/');		
									$view = $tpl->createView('logowanie_spr');
									$view->username = $username;
									$view->logowanie = $logowanie;
									$view->render();
								}
						$zajety -> closeCursor();	
}
[PHP] pobierz, plaintext 

I gdy go odpalam na localhost z PHP: 5.4.10 to działa normalnie, natomiast gdy go odpalę na serwerze gdzie jest PHP: 5.3.15 to jest błąd który znika jak usunę funkcję: mysql_real_escape_string();, ale czym zastąpić tą funkcję która zabezpieczała mi zmienne - A może PDO sam w sobie już posiada zabezpieczenie ?.

Pozdrawiam i z góry bardzo dziękuje.

[Giluś]

No tak na Localhoscie nie miałem uruchomionych błędów może dla tego...

Zawsze przy odbieraniu danych od użytkownika sprawdzałem funkcją mysql_real_escape_string(); czy nie posiada jakiś dziwnych danych które mogą zaszkodzić mojej bazie (ataki sql injection itp) i dlatego gdy teraz przerzuciłem się na PDO to się zastanawiam czym zastąpić tą funkcję, ale widzę że praktycznie nic nie trzeba robić..

A co do walidacji czyli są jakieś znaki w zmiennej, czy też jest ona za krótka, długa to już inna funkcja która działa mi bardzo dobrze..

Pozdrawiam i z góry bardzo dziękuje za odpowiedz.

[sowiq]

Zawsze przy odbieraniu danych od użytkownika sprawdzałem funkcją mysql_real_escape_string(); czy nie posiada jakiś dziwnych danych

Kolego, nie myl pojęć. Funkcja mysql_real_escape_string niczego nie sprawdza. Ona służy do "eskejpowania", czyli zabezpieczania przez dodawanie znaku ucieczki do potencjalnie niebezpiecznych znaków w ciągu.

Ten post edytował sowiq 6.02.2013, 11:18:25