[PHP] bezpieczeństwo, mysql_real_escape_string Opcje

[peter13135]

czytałem conieco w manualu o mysql_real_escape_string (nawet po polsku jest opis:))
jednak jako początkujący webmasjter, niebardzo to rozumiem, więc mam pytanie
czy poniższy skrypt jest bezpieczny??

[PHP] pobierz, plaintext 
<?
//formularz
//łączenie z bazą
// jeśli wypełniono dane w formularzu
 
$login=$_POST['login'];
$haslo=$_POST['haslo'];
$login=mysql_real_escape_string($login);
$haslo = mysql_real_escape_string($haslo)
 
 
  {
   $sql=mysql_query("select * from userzy where login='$login' and haslo='$haslo' ");
   }
?>
[PHP] pobierz, plaintext 

cały ten kod jest pisany "z palca", chce sie tylko dowiedzieć czy takie filtrowanie zmiennych jest bezpieczne, czy to wogóle oto chodzi

edit:// jeszcze jedno
czy "sprintf" to jest to samo co mysql_query?

Powód edycji: Poprawiłem tytuł tematu. /webdicepl

[paziek]

@robos85:

[PHP] pobierz, plaintext 
<?php
function sqlesc ($content) {
  $content = (! get_magic_quotes_gpc ()) ? mysql_real_escape_string ($content) : $content;
  return htmlspecialchars($content);
}
?>
[PHP] pobierz, plaintext 

Przy magic_quotes też trzeba się zabepieczyc przed XSS.


@peter13135: Funkcja jest OK, ale sądzę, że nie ma sensu łączyć strip_tags() z htmlspecialchars() (w typ przypadpku), jako, że drugie zamienia tobie tagi <> na HTMLowe encje (? zwał jak zwał) i są wtedy one wyświetlane w formie tekstowej (tak jak na tym forum), więc żadne XSS nie ma wtedy prawa bytu.
strip_tags() używaj, jeśli chcesz usuwać tagi z wprowadzanego tekstu, zamiast je wyświetlać z htmlspecialchars(). Plus, dla strip_tags() możesz podać listę 'dozwolonych' tagów, np. <b>, <i> oraz <u> są dobrymi przykładami nieszkodliwych tagów.

Przykład:
Wysyłam komentarz o treści <script>alert('Shackowałem cię!');</script>
htmlspecialchars("<script>alert('Shackowałem cię!');</script>"); wyświetli <script>alert('Shackowałem cię!');</script>
strip_tags("<script>alert('Shackowałem cię!');</script>"); wyświetli alert('Shackowałem cię!');
Oba są niegroźne, ale wynik różny, prawda?

Ten post edytował paziek 11.08.2008, 13:59:24