[php/sql] Zabezpieczenia skryptu, ptasia grypa nadciaga :P Opcje

[right6]

Mam pytanie do szanownego grona forumowiczów.

W miare jak mi sie skrypt rozrasta (juz 18 tys. lini na liczniku ), czas pomyslec powaznie o zabezpieczeniach.
zeby uniknac sytuacji ze ktos wpisze ' i skrypt padnie, bo SQL sie sypnie, albo ze ktos wpakuje ifrem'a szer. 1000 px i mi rozwali strone przy wyswietlaniu, nie mowiac o ciagu 500 znaków bez spacji czy innych poczynaniach.

No i mam pare pytan. Na razie chce wykonac zabezpieczenia tylko zapisu do MySQL'a, i odczytu z niego.

czyli, to co mi przyszlo do glowy co trzeba zabezpieczyc:
- tagi HTML'a
- znaki specjalne jak np '
- zeby sie nie wykonal wpisany kod php, czy JS
- pozamieniac jakies krzaczki pochodzace np. w Word'a

no i cuz jeszcze no wlasnie pominolem cos

zaczolem tez dzialac: oto co nazbieralem.

[PHP] pobierz, plaintext 
<?php
 
$text = strip_tags( $text, '<b><i><u><br><span><font><p><a><h1><h2><h3><ul><li>' );
 
 
 
 
?>
[PHP] pobierz, plaintext 

teraz sie zastanawiam czy takie cos

[PHP] pobierz, plaintext 
<?php
 
     // znaki specjalne
$text = str_replace('&amp;plusmn;', '&plusmn;', $text);
$text = str_replace('&amp;trade;', '&trade;', $text);
$text = str_replace('&amp;bull;', '&bull;', $text);
$text = str_replace('&amp;deg;', '&deg;', $text);
$text = str_replace('&amp;copy;', '&copy;', $text);
$text = str_replace('&amp;reg;', '&reg;', $text);
$text = str_replace('&amp;hellip;', '&hellip;', $text);
 
// błędne kodowanie m.in. z phpmyadmina
$text = str_replace('&amp;#261;', 'ą', $text);
$text = str_replace('&amp;#263;', 'ć', $text);
$text = str_replace('&amp;#281;', 'ę', $text);
$text = str_replace('&amp;#322;', 'ł', $text);
$text = str_replace('&amp;#347;', 'ś', $text);
$text = str_replace('&amp;#378;', 'ź', $text);
$text = str_replace('&amp;#380;', 'ż', $text);
 
// znaki specjalne z m$ word
$text = str_replace('&amp;#177;', 'ą', $text);
$text = str_replace('&amp;#8217;', ''', $text);
$text = str_replace('&amp;#8222;', '"', $text);
$text = str_replace('&amp;#8221;', '"', $text);
$text = str_replace('&amp;#8220;', '"', $text);
$text = str_replace('&amp;#8211;', '-', $text);
$text = str_replace('&amp;#8230;', '&hellip;', $text);
         
 
?>
[PHP] pobierz, plaintext 

wykonac przed zapisem do bazy czy juz przy wyswietlaniu ?

a takie cos ? przed zapisem czy po czy nie mozna tego prosciej zrobic

Kod

   /*Zabezpieczenie przed zadługimi wpisami*
   $nowatresc = explode( " ", $text );
   //liczymy elementy tablicy
   $total = sizeof( $nowatresc );
   //przy pomocy pętli pobieramy każdy element tablicy i mierzymy
   for( $i=0; $total > $i; $i++ )
   {
       //jeśli długość któregoś z elementów tablicy przekracza 30 znaków
       //zmienna weryfikacja jest pusta
       if( strlen( $nowatresc[$i] ) > "30" )
       {
           $weryfikacja="";
       }
   }
   //jeśli weryfikacja jest pusta informujemy że wystąpił błąd
   if ( $weryfikacja!="ok" )
   {
       echo"Za długi wyraz, chińczyków nie obsługujemy";
   }
   else
   {
       echo"Wszystko w porządku";
       //tu wykonują się dalsze czynności skryptu
       //jeśli wszystko jest w porządku
   }

i jeszce anty JS

[PHP] pobierz, plaintext 
<?php
 
 
// anti js
Function js($text)
{
  if(!eregi('<a href=\"javascript:mailto:mail\('',$text[0]))
  {
    return str_replace('javascript','java_script',$text[0]);
  }
    else
  {
    return $text[0];
  }
}
 
?>
[PHP] pobierz, plaintext 

i jak sie zabezpieczyc przed wykonaniem zapytania SQL i kodu php ?

o czyms zapomnialem ?

Ten post edytował right6 15.04.2006, 11:53:40