Zabezpieczenie formularzy, strip_tags, HTMLSpecialChars() Opcje

[Jarod]

Czy znacie jakieś inne dobre sposoby zabezpieczania formularzy przed załamaniem skryptu php oprócz stosowania funkcji strip_tags i HTMLSpecialChars()?

Pozdrawiam

Ten post edytował J4r0d 28.04.2005, 11:54:51

[Jarod]

Wracając do funkcji strip popełniłeś błąd..

Zamiast

[PHP] pobierz, plaintext 
<?php
$query = &#092;"INSERT INTO tabela (tabela_id, imie, nazwisko) \".
			  &#092;"VALUES ($ID, '\".strip_tags('$_POST[imie]').\"','\". strip_tags('$_POST[nazwisko]').\"' )\";
?>
[PHP] pobierz, plaintext 

powinno być

[PHP] pobierz, plaintext 
<?php
$query = &#092;"INSERT INTO tabela (tabela_id, imie, nazwisko) \".
			  &#092;"VALUES ($ID, '\".strip_tags($_POST[imie]).\"','\". strip_tags($_POST[nazwisko]).\"' )\";
?>
[PHP] pobierz, plaintext 

bo inaczej do bazy zapisze nie wartość tylko "$_POST[imie]"..


Druga sprawa, która zresztą mnie nie pokoi to wynik testu, który przeprowadziłem. Wszyscy dobrze wiem, że gdy nie zastosujemy funkcji strip_tags, ktoś wpisując w formularzu "Imię" ciąg "[b ]Jakiesimie[/b ]" otrzyma Jakiesimie.
Więc przeprowadziłem test. Dodałem funkcje strip_tags do zmiennej imie a do zmiennej nazwisko nie.
Wyglądało to tak

[PHP] pobierz, plaintext 
<?php
$query = &#092;"INSERT INTO tabela (tabela_id, imie, nazwisko) \".
			  &#092;"VALUES ($ID, '\".strip_tags($_POST[imie]).\"','$_POST[nazwisko])' )\";
?>
[PHP] pobierz, plaintext 

okazało się (IMG:http://forum.php.pl/style_emoticons/default/ohmy.gif) , że stripuje wszystkie zmienne, chociaż chciałem tylko jedną.. A wypisuje jako ciąg znaków "[b ]Jakiesimie[/b ]". Wydawało mi się, że znaczniki html są usuwane...

Ten post edytował J4r0d 28.04.2005, 15:11:45