Zabezpieczenia skryptów PHP, mysql_real_escape_string(); i inne tego typu... Opcje

[modern-web]

Witam wszystkich!
Ostatnio poczytałem bardzo dużo na temat SQL Injection oraz innych tego typu atakach.

Posiadam przykładowy skrypt:

[PHP] pobierz, plaintext 
$abc = trim($_POST['abc']);
mysql_real_escape_string($abc);
[PHP] pobierz, plaintext 

I moje pytania są następujące:

1. Jest on poprawny?
2. Jeśli tak to jak można dodatkowo zabezpieczyć zapytania do baz danych/formularze itp...
3. Jeśli nie to proszę o jakiś zamiennik lub wskazanie błędu (IMG:style_emoticons/default/smile.gif)

Z góry dzięki za pomoc.
Pozdrawiam.


P.S.
Przepraszam jeśli temat się powtarza, ale nigdzie nie znalazłem podobnej sytuacji do tej, w której się znajduję.

Ten post edytował modern-web 29.10.2010, 16:16:20

[kilas88]

http://php.net/manual/pl/book.filter.php

btw.
http://dev.kohanaframework.org/projects/ko...aries/Input.php
nieźle - setka wyrażeń regularnych, odwołania do HTML Purifier (który składa się z kilkuset plików / setek wyrażeń), etc - to rozwiązanie musi być bardzo wolne, niemniej na pewno bezpieczne. pokazuje to tylko, jak bardzo warto zacząć korzystać z PDO i prepared statements / stored procedures gdzie tylko możemy.

[jang]

btw.
http://dev.kohanaframework.org/projects/ko...aries/Input.php
nieźle - setka wyrażeń regularnych, odwołania do HTML Purifier (który składa się z kilkuset plików / setek wyrażeń), etc - to rozwiązanie musi być bardzo wolne, niemniej na pewno bezpieczne. pokazuje to tylko, jak bardzo warto zacząć korzystać z PDO i prepared statements / stored procedures gdzie tylko możemy.

@kilas88 nie jestem zwolennikiem kohany a więc to nie wojna polsko-polska (IMG:style_emoticons/default/smile.gif) ale
1. nie setka wyrażeń regularnych a 10% z tego co podałeś
2. "odwołania do HTML Purifier" - aby skorzystać z HTML Purifier to musisz tego chcieć a więc
musiałbyś

[PHP] pobierz, plaintext 
$input->xss_clean($suspect_input, 'htmlpurifier');
[PHP] pobierz, plaintext 

a wystarczy

[PHP] pobierz, plaintext 
$input->xss_clean($suspect_input);
[PHP] pobierz, plaintext