[PHP]Zabezpieczanie prze SQL Injection Opcje

[Raven1122]

Jak zabezpieczyc ten skrypt przed injection? chodzi mi o mysql_real_string_escape i o to zeby nie dalo sie dodac tagow html

[PHP] pobierz, plaintext 
<?php  header("location:../index.php?id=3"); ?>
<?php
 
if($_POST['author'] != 'Wykonawca' and $_POST['title'] != 'Autor' and $_POST['link'] != 'Link do odsłuchu'){
$name = $_POST['author'] . '-' . $_POST['title'];
$id = 0;
$votes = 0; 
$link = $_POST['link'];
 
$connect = mysql_connect('xxx', 'xxx', 'xxx') or die(mysql_error());
mysql_select_db(bassplay_web);
 
$sql = "INSERT INTO pool_top10 (id, name, glosy, link) " .
"VALUES ('$id', '$name', '$votes', '$link')";
$result = mysql_query($sql) or die(mysql_error());
echo ("Utwór dodany poprawnie");
}
else{
echo ("Wypełnij wszystkie pola");
}
?>
[PHP] pobierz, plaintext 

[!*!]

1. Przeczytaj jakiś kurs PHP
2. Sprawdź czy w ogóle dane wysyłasz isset
3. Napisz coś bardziej sensownego niż

[PHP] pobierz, plaintext 
if($_POST['author'] != 'Wykonawca' and $_POST['title'] != 'Autor' and $_POST['link'] != 'Link do odsłuchu')
[PHP] pobierz, plaintext 

Bo tym sposobem mogę wysłać cokolwiek, prócz tego co wpisałeś? No ale jak tam chcesz.
4. Używaj tagów na forum.
5. W którym miejscu używasz tych funkcji i po czym?
6. Do całkowego usuwania tagów jest strip_tags

Ten post edytował !*! 10.09.2011, 16:20:47