[PHP] pobierz, plaintext 
<!--quoteo--><div class='quotetop'>Cytat</div><div class='quotemain'><!--quotec-->/*
	 * Funkcja sprawdza czy $data jest typu $expected_data_type (int, string) i zwraca true lub false jezeli $data nie jest poprawna
	 * do uzycia w zapytaniu SQL
	 * $secure_level = 0, nie zwraca uwagi na wystepowanie SELECT, UNION, *, dla $secure_level = 1, zwraca uwage na wystepowanie skladni SQL
	 */
	function is_safe_data( $data, $expected_data_type = 'int', $secure_level = 0 )
	{
		if( $expected_data_type  == 'int' )
		{
			if( is_numeric( $data ) )
			{
				return 1;
			}
			else
			{
				return 0;
			}
		}
		elseif( $expected_data_type == 'string' )
		{
			if( $secure_level == 1 )
			{
				preg_match( '/(SELECT|UNION|\*|DROP TABLE|UPDATE |,)/si', $data, $preg );
				if( $preg )
				{
					return 0;
				}
				else
				{
					return 1;
				}
			}
		}
	}
 
	/*
	 * Funkcja z $data usuwa skladnie SQL
	 */
	function convert_to_safe_data( $data )
	{
		$data = strtolower( $data );
 
		$hex_translate = array(
			'%43' => 'C',
			'%45' => 'E',
			'%49' => 'I',
			'%4c' => 'L',
			'%4e' => 'N',
			'%4f' => 'O',
			'%53' => 'S',
			'%54' => 'T',
			'%55' => 'U',
			'%63' => 'c',
			'%65' => 'e',
			'%69' => 'i',
			'%6c' => 'l',
			'%6e' => 'n',
			'%6f' => 'o',
			'%73' => 's',
			'%74' => 't',
			'%75' => 'u',
			'%58' => 'X',
			'%78' => 'x',
			'%2a' => '*',
			'%2f' => '/');
 
		foreach( $hex_translate AS $hex => $char )
		{
			$data = str_replace( $hex, $char, $data );
		}
 
		$data = str_replace( '*', '', $data );
 
		$data = str_replace( '/', '', $data );
 
		$data = preg_replace( '/(select|SELECT|UNION|union|EXEC|exec)/si', '', $data );
 
		return $data;
	}<!--QuoteEnd--></div><!--QuoteEEnd-->
 
prosil bym o ocene, i czy to zmniejszy szanse ataku sql injection?
Funkcja druga to sie wzorowalem na tym
<!--c1--><div class='codetop'>Kod</div><div class='codemain'><!--ec1-->http://axelpl.wordpress.com/2008/01/01/uniwersalne-zabezpieczenie-przed-sql-injection-i-xss/<!--c2--></div><!--ec2-->
[PHP] pobierz, plaintext 

zmniejszy to szanse ataku sql inj jesli bede stosowac te funkcje?

Mam dla Ciebie lepszą funkcję:
mysql_real_escape_string() <- dla stringów

Rzutowanie na int <- dla integerów
Rzutowanie na float <- dla zmiennoprzecinkowych.

Nie wzoruj się więcej na tamtym blogu. Facet nie ma pojęcia o czym pisze.

~deniol13 jeśli chcesz wyeliminować zagrożenie spowodowane atakami sql injection poczytaj o PDO.

A w jaki sposób PDO eliminuje to zagrożenie?

Poprzez poprawne preparowanie składni zapytań sql (prepare) i bindowanie parametrów (bindParam lub bindValue) możemyt praktycznie unimożliwić modyfikację zapytania kierowanego do bazy danych przez dane wejściowe. Nie musimy też korzystać z funkcji eskejpujących itp. Oczywiście nikt nie każe używać PDO, jednak jest to już od jakiegoś czasu standard. Co do bezpieczeństwa, to warto wspomnieć, że każdy źle napisany skrypt, w którym nie przewidziano różnych sytuacji może być podatny na ataki tego typu.

O to mi chodziło. Nie PDO samo w sobie w magiczny sposób eliminuje to niebezpieczeństwo, tylko poprawne korzystanie z zapytań przygotowanych. Z tych z kolei można korzystać oczywiście w PDO, ale też i w ext/mysql (chociaż niezbyt wygodnie) jak i w ext/mysqli.

Czy PDO jest takim standardem... pewnie zależy gdzie i do czego.

~Mchl nigdzie nie napisałem, że PDO samo z siebie eliminuje zagrożenie, chciałem tylko zainteresować autora tematu możliwością wyeliminowania zagrożeń sql injection poprzez naukę poprawnego korzystania z PDO Pozdrawiam.

Taką lakoniczną wypowiedź można na wiele sposobów odczytać

Pozdr.