[PHP][MySQL] Proszę o wskazówki do prostej wyszukiwarki newsów Opcje

[Guli]

Mam tabelkę o nazwie news a w nim:
id
nazwa_kat_id
data_utw
tytul
tekst

Zrobiłem sobie taką prościutką wyszukiwarkę, która wyszukuje posty id, tytul i tekst a kod wygląda tak (wszystko w jednym pliku o nazwie wyszukiwarka.php):

[HTML] pobierz, plaintext 
<form action="wyszukiwarka.php" method="post">
  <fieldset> 
  <legend>Szukaj</legend> 
  <input type="text" name="slowo"  id="slowo" value="<?php echo $slowo; ?>"  size="17" /> 
  <input type="submit" name="znajdz" value="Szukaj" class="button" /> 
   </fieldset>
</form>
[HTML] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
echo '<table summary="Tabela testowa" class="tabela2">';
echo '<tbody><tr><th class="first">Lp</th>';
echo '<th>Tytuł</th>';
echo '<th>Data</th></tr>';
require('mysql.php');
 
if(isset($_REQUEST['slowo'])) {
 
$slowo = stripslashes($_REQUEST['slowo']);
 
$query = 'SELECT id, tytul, tekst FROM ' . $prefix . 'news WHERE tytul LIKE '%' . $slowo . '%' OR tekst LIKE '%' . $slowo . '%' ORDER BY data_utw DESC';
 
$result = mysql_query($query);
$n = mysql_num_rows($result);	
 
if (strlen($slowo)<3){
 
echo 'Szukany ciąg musi mieć przynajmniej trzy znaki';
}
else {
 
if($n > 0) {	
 
while($wiersz = mysql_fetch_assoc($result)
{
 
echo '<tr>';
echo '<td>'.$wiersz['id'].'</td>';
echo '<td>'.$wiersz['tytul'].'</td>';
echo '<td>'.$wiersz['tekst'].'</td>';
echo '</tr>';
}
echo '</tbody>';
echo '</table>';
}
 
else { 
	  echo 'Nie ma tego słowa w bazie';
		} 
		}
		}
		mysql_close();
?>
</form>
[PHP] pobierz, plaintext 

I mam pytania z nim związane.

1. Czy wystarczy zabezpieczenie przed atakami tylko słowa $keyword poprzez stripslashes ? Jeśli nie to co można dodać ? Czy to wystarczy mysql_real_escape_string ?
2. Czy przy wyświetlaniu wyników id, tytul i tekst trzeba dodać stripslashes i strip_tags np. stripslashes($wiersz['tytul']) ?
3. Gdzie należy dopisać echo z informacją:

- że pusta jest baza
- że tego słowa nie ma w bazie
- jeśli nie wpisałem słowa a kliknąłem w przycisk submit to ma pojawić się info, że nie podałem słowa kluczowego ?

Nie jestem pewien czy w kodzie jest dobrze i w którym to miejscu.

4. Czy najlepsze jest tak pisać po wpisaniu słowa i kliknięciu w submit formularza ?

[PHP] pobierz, plaintext 
<?php
if(isset($_REQUEST['slowo'])) {
$keyword = stripslashes($_REQUEST['slowo']);
 
itd.
?>
[PHP] pobierz, plaintext 

czy tak :

[PHP] pobierz, plaintext 
<?php
if(array_key_exists('slowo', $_POST) ) {
$slowo = stripslashes($_POST['slowo']);
 
itd.
?>
[PHP] pobierz, plaintext 

Co można jeszcze dodać do kodu lub zmienić ?

Za pomoc dziekuje

Ten post edytował Guli 3.10.2007, 17:30:59

[Inzabi]

$_REQUEST to tablica zbiorcza, stosuje się ją raczej w starych serwisach, które działają jeszcze na register_globals. Gdy ją stosujesz, to włamywacz ma szerokie pole do popisu. Można przejąć na przykład informacje z sesji i stać się adminem. Nie podam tu sposobów, aby nie ułatwiać zadanie domorosłym hakierom (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) . Dlatego stosuj zawsze $_GET, $_POST, $_SESSION>
Jeśli musisz używać $_REQUEST, to znak, że musisz zmienić projekt strony.

Co do tych błedów. Chodzi zablokowanie możliwości podejrzenia struktury tabeli, najlepiej stosowac error_reporting(0) i zabezpieczać się przed sql injection.
Na przykład: stosuj @mysql_query() zamiast 'mysql_query(), wtedy w przypadku błednego zapytania SQL, w najgorszym razie, strona bedzie pusta.