Problem z kombinacją zmiennej. Opcje

[w0jt3k]

Czy taka kombinacja zmiennej jest poprawna i zostanie zinterpretowana przez serwer poprawnie? Głównie chodzi o ochronę przed SQLInjection.

[PHP] pobierz, plaintext 
$nazwa_uz = addslashes((string)trim($_POST['nazwa_uz']));
[PHP] pobierz, plaintext 

Czy może powinno to wyglądać tak?

[PHP] pobierz, plaintext 
if(!get_magic_quotes_gpc()){
	$nazwa_uz = addslashes($nazwa_uz);
}
$nazwa_uz = (string)$_POST['nazwa_uz'];
$nazwa_uz = trim($_POST['nazwa_uz']);
[PHP] pobierz, plaintext 

Albo jeszcze inaczej wymyśliłem:

[PHP] pobierz, plaintext 
if(!get_magic_quotes_gpc()){
	$nazwa_uz = addslashes($_POST['nazwa_uz']);
	$nazwa_uz = addslashes($nazwa_uz);
	$nazwa_uz = (string)$_POST['nazwa_uz'];
	$nazwa_uz = (string)$nazwa_uz;
	$nazwa_uz = trim($_POST['nazwa_uz']);
	$nazwa_uz = trim($nazwa_uz);
}
else
{
	$nazwa_uz = (string)$_POST['nazwa_uz'];
	$nazwa_uz = trim($_POST['nazwa_uz']);
	$nazwa_uz = trim($nazwa_uz);
}
[PHP] pobierz, plaintext 

Czy to jest poprawne?

Ten post edytował w0jt3k 30.09.2013, 20:43:45

[w0jt3k]

Zrezygnowałem z PDO, bo mnie dosłownie wkur... to, ze nie ma zaimplementowanych wielu funkcji z Mysqli.

Czy taki kod jest dobrze zabezpieczony? Niby kolega wyżej mówił, że addslashes nie potrzeba, przy int, no, ale... na wszelki wypadek:

[PHP] pobierz, plaintext 
$wynik = $lacz->query("select * from uzytkownicy where email='". $nazwa_uz_l ."' and haslo = '". $haslo_l ."' ");
 
	$nazwa_uz_l = $lacz->real_escape_string($nazwa_uz_l);
	$nazwa_uz_l = addcslashes($nazwa_uz_l, '%_');
	$nazwa_uz_l = addslashes($nazwa_uz_l);
	$nazwa_uz_l = (int)$nazwa_uz_l;
 
	$haslo_l = $lacz->real_escape_string($haslo_l);
	$haslo_l = addcslashes($haslo_l, '%_');
	$haslo_l = addslashes($haslo_l);
	$haslo_l = (int)$haslo_l;
[PHP] pobierz, plaintext 

Nie czepiać się kodowania md5/sha przy haśle (IMG:style_emoticons/default/tongue.gif) To dla testu kod.
(IMG:style_emoticons/default/smile.gif)

I jeszcze jedno pytanie. Jak zabezpieczyć pusty VALUE id_uz

[PHP] pobierz, plaintext 
VALUES (''
[PHP] pobierz, plaintext 

w:

[PHP] pobierz, plaintext 
$wynik =  $lacz->query("INSERT INTO uzytkownicy (id_uz, haslo, email, pytanie_pomoc) VALUES ('','".$haslo."', '".$email."', '".$pytanie_pomoc."') ");
[PHP] pobierz, plaintext 

Wiersz w bazie w tym miejscu mam unsigned auto increment primary key int wiec wiecie dlaczego puste.

Ten post edytował w0jt3k 16.10.2013, 15:36:31