[PHP]funkcja do pól typu text Opcje

[wpaski]

Czy taka funkcja zabezpiecza dane które mają być zapisywane do bazy danych? Dodatkowo korzystam z PDO.

[PHP] pobierz, plaintext 
 
   public function allowedcharacters($data) {
                $data = filter_var($data, FILTER_SANITIZE_STRING);  
                if (preg_match("/^[a-z ęóąśłżźćń]+$/", $data) == false) {
                   return "Niedozwolone znaki";
                }
        }
[PHP] pobierz, plaintext 

Takie jeszcze poboczne pytanie co dokładnie robi flaga FILTER_SANITIZE_STRING bo z tego co wyczytałem, to usuwa znaki html'owskie ale co jeszcze usuwa?

Ten post edytował wpaski 7.10.2012, 13:25:06

[wpaski]

dzięki, chodzi o podstawowe ataki, SQL injection i XSS

Tzn. sama w sobie nie, ale jeśli będzie odpowiednio użyta z funkcją wywołującą zapytanie to tak.

Tego za bardzo nie rozumiem, przecież nie można wprowadzić innych znaków po za tymi filtrowanymi przez preg_match

[bostaf]

dzięki, chodzi o podstawowe ataki, SQL injection i XSS

No to sprawa jest prosta. Do skonstruowania zapytania wykorzystaj PDO::prepare, podepnij dane za pomocą PDOStatement::bindParam i wykonaj zapytanie za pomocą PDOStatement::execute. Nic nie trzeba filtrować ani eskejpować. Wszystkie dane są "podpięte" czyli lecą do servera SQL równolegle z zapytaniem a nie w zapytaniu. W tym cała magia PDO - dane nie mają bezpośredniego kontaktu z zapytaniem.
W manualu PHP, za linkami które podałem, są ładne przykłady bindowania.