działanie funkcji (filtra) Opcje

[szczypior]

Witam

Napisałem do formularza funkcje mającą na celu zabezpieczenie bazy przed atakami sqlinjection:

[PHP] pobierz, plaintext 
<?php
function sprawdz($dane)
{
	if (!get_magic_quotes_gpc())
	{
		$dane = mysql_real_escape_string($dane);
		$dane = addslashes ($dane);
		$dane = htmlspecialchars($dane, ENT_QUOTES);
	}
		return $dane;
}
?>
[PHP] pobierz, plaintext 

dane do sprawdzenia wprowadzane są tak:

[PHP] pobierz, plaintext 
<?php
$login = sprawdz($_POST[login]);
$pass = sprawdz($_POST[pass]);
?>
[PHP] pobierz, plaintext 

Po wpisaniu do formularza danych:

<a href="bla">asd</a>

i

'"/\ <>()

nie uległy one żadnej zmianie i w identycznej formie widoczne są bazie otworzonej w phpmyadmin

W czym może być problem?

PS. Czy połączenie tych trzech filtrów jest ok? Nie przekombinowałem? (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Ten post edytował szczypior 13.07.2007, 23:44:13

[flv]

Stosowanie addslashes i mysql_real_escape_string jednocześnie nie zabezpieczy cie przed niczym. Wyescape'uje niebezpieczny tekst podwójnie, a jak wiadomo podwójny backslash oznacza tyle co zwykły znak '\', co za tym idzie do niebezpiecznego znaku doda się tylko backslash traktowany jako zwykły znak.

Ten post edytował flv 14.07.2007, 14:00:31