Nietypowa walidacja, problem z bezpieczenstwem Opcje

[lukaskolista]

Witam. Musze do bazy danych zapisac teksty uzytkownikow z tinymce editora. Musze to jednak zrobic w czystej postaci: nie moge przepuscic tekstu przez htmlspecialchars)= i zapisac do bazy, a nastepnie przy wyswietlaniu uzyc htmlspecialchars_decode(). Musze zapisac je ze znakami specjalnymi. W tym wlasnie problem. W takim przypadku edytor tekstowy staje sie okienkiem do wpisywania polecen dla hakerow. Macie moze pomysl, jak rozwiazac ten problem? Z gory dziekuje za pomoc:)

[fander]

Nie wiem dlaczego podchodzicie do tego w taki sposób że chłopak sam ma tworzyć zapytania, nie lepiej zaproponować koledze przejście na programowanie obiektowe, na początek klasy modeli w połączeniu z prostym PDO. PDO posiada lepsze "zabezpieczenia" przed sql injection niż ty sam jesteś w stanie wymyślić.
Rozwiąż to w ten sposób że tworzysz sobie klasę odpowiadającej tabelce w bazie z odopowiednimi metodami i atrybutami czyli:

[PHP] pobierz, plaintext 
class mojaTableka{
 /**
 $var PDO
 */
 public static $_connection;
 public static $_insertSql = 'INSERT INTO mojaTabela (kolumna1,kolumna2,...) VALUES (:kolumna1,:kolumna2,...)';
 .
 .
 .
 public $kolumna1;
 public $kolumna2;
 public $kolumna2;
 .
 .
 .
 
public static parms = array(
    'kolumna1' => PDO::PARAM_STR,
     .
     .
     .
);
 
 public function __set($key,$val){
    if(isset($this->$key)){
      $this->$key = $value;
    }
 }
 
 public function __get($key){
     if(isset($this->$key)){
       return $this->$key;
     } 
 }
 
 public static function insert(mojaTableka $obiekt){
    try{
           $prep = self::$_connection->prepare(self::$_insertSql);
            foreatch(self::$params as $key => $val){
                 $prep->bondParam(':'.$key,$obiekt->$key,$val);
            }
            return $prep->execute();
         }catch(Exception $e){
             return false;
         }
 }
 
 public static function update(mojaTabelka $obiekt){
 
 }
 
 public static function dell(mojaTableka $obiekt){
 
 }
 
 public static function get($where){
 
 }
 
 public function save(){
  if($this->IDENTYFIKATOR !== NULL){
     mojaTablela::update($this);
  }
  else{
     mojaTablela::insert($this);
  }
 }
 
 
}
[PHP] pobierz, plaintext 

Pisane z ręki mogą być błędy, ale zamysł jest prawidłowy. Jeśli wybierzesz moje rozwiązanie na pewno postaram się pomóc.

Ten post edytował fander 28.07.2010, 09:08:07