[HTML][PHP] Zabezpieczenie strony Opcje

[kamil1114]

Mam stronę , na której można dodawać komentarze. Każdy może taki komentarz dodać. Gdzieś przeczytałem , że strona jest źle zabezpieczona , jeżali poprzez formularz dodawania komentarzy można wykonać dowolne polecenie html'a lub php. Czy tak jest naprawdę ? Bo jak wpiszę w polu komentarza na przykład <img src="./obrazek.jpg"></img> , to obrazek w komentarzach się pojawia.

[kamil1114]

Ja chcę wstawić do bazy komentarz. Może pokażę kawałek kodu PHP :

[PHP] pobierz, plaintext 
echo "<b>Dodawanie komentarzy:</b></br>";
 
echo "<form method='post'>";
 
echo "Twój nick: </br>";
 
echo "<input type='text' name='nick'> </br>";
 
echo "Tresć komentarza: </br>";
 
echo "<textarea name='komentarz' cols='40' rows='15'></textarea> </br>";
 
echo "<input type='submit' value='Dopisz'>";
 
echo "</form>";
echo "</center>";
 
$nick=strip_tags($_POST['nick']);
$text=nl2br(strip_tags($_POST['komentarz']));
$ip=$_SERVER['REMOTE_ADDR'];
 
 
 
 
if(!empty($nick) && !empty($tresc)){
$id_newsa=$_GET['id'];
mysql_query("insert into komentarze (id,nick,tresc,ip,id_newsa) values (0,'$nick','$text','$ip','$id_newsa')");
 
[PHP] pobierz, plaintext 

Czy takie zabezpieczenie jest dobre ? Myślałem czy nie lepiej użyć funkcji: mysql_real_escape_string ? Proszę o pomoc , bo chciałbym dobrze zabezpieczyć stronę.

Ten post edytował kamil1114 23.12.2009, 20:18:39