[php/mysql] Zabezpieczenia przed SQL Injection Opcje

[bangoo]

Próbuję zabezpieczyć się przed SQL Injection. Próbuję zrobić to poprzez str_replace. Oto kod:

[PHP] pobierz, plaintext 
<?php
function LogIn($Nick,$EntrdPass){
 
global $Msg;
	$BadTags = array("/", "*", "OR", "%", "#");
	$Nick = str_replace($BadTags, "", $Nick);
	$EntrdPass = str_replace($BadTags, "", $EntrdPass);
 
	$Query = "SELECT * FROM Users WHERE nick ='".$Nick."'";
 
	$Torow = mysql_query($Query) or die(mysql_error());
 
	while($row = mysql_fetch_assoc($Torow)){
 
		 $UserInfo = $row;
		unset($row);
 
		}
 
		$EntrdPass = md5($EntrdPass);
 
	if($EntrdPass == $UserInfo['password']){
 
		$QueryRank = "SELECT * FROM UsersRank WHERE id ='".$UserInfo['rank']."'";
 
		$TorowRank = mysql_query($QueryRank) or die(mysql_error());
 
		while($row = mysql_fetch_assoc($TorowRank)){			 
 
			$RankInfo = $row;
			unset($row);
 
		}
		$_SESSION['user'] = $UserInfo;
		$_SESSION['rank'] = $RankInfo;
 
		$Msg = 1;
 
		echo "<pre>";
		print_r($_SESSION);
		echo "</pre>";
		echo $_SESSION['user']['id'];
 
		AddLog("Uzytkownik ".$Nick." zalogowal sie.");
 
	}
 
	else{
 
	$Msg = 0;
 
	}
?>
[PHP] pobierz, plaintext 

Czy jest to dobre rozwiązanie i czy jestem już bezpieczny?

[skowron-line]

http://forum.php.pl/index.php?showtopic=23...l=sql+injection

tu napewno znajdziesz odpowiedz na swoje pytanie i wiele innych

[bangoo]

Czytałem, ale chciałem się zapytać co sądzicie o tym rozwiązaniu bo jego tam nie podali.

[fridek]

Nie rozumiem czemu nie używasz na haśle i loginie mysql_real_escape_string. Możnaby też ewentualnie sprawdzać ich długość (nie wiem, czy SQLowi można zrobić przepełnienie bufora?).
Twoja metoda jest ok, ale np. nie sprawdzasz czy ciąg nie zawiera ' albo ", a to chyba podstawa. Nie wynajduj po raz kolejny koła, uzyj wbudowanej funkcji.