sql injection, mssql Opcje

[fiszol]

Witam, całe sql injection to dla mnie nowość, jednak zdażyło mi się już przez to oberwać (a raczej mojej bazie), czy istnieje jakiś skuteczny i prosty sposób któy pozwoli się zabezpieczyć przed tym świństwem ?

korzystam z mssql 2000 enterprise edition i php 4.3 .

z góry dzięki za pomoc.

dodam że w manualu php nie znalazłem czegoś takiego jak mssql_escape_string ;p

Ten post edytował fiszol 19.12.2004, 14:53:57

[Adam Boduch]

Przede wszystkim nalezy uwazac na dane pochodzace od usera, walidowac informacje pochodzace nawet z ciastka. Np. jezeli odczekujesz iz klucz 'id' z tablicy $_GET ma byc typu int korzystaj z rzutowania - np.

$post_id = (int)$_GET['id'];

albo:

$post_id = intval($_GET['id']);

W razie gdy id bedzie lancuchem rzutowanie przypisze do $post_id - 0.

Jezeli mamy do czynienia z lancuchami, nalezy parsowac dane, usuwajac znaki -- %20 ' "