Как обезопаситься от вложенных запросов?

[Line]

Как обезопаситься от вложенных запросов?

Как посоветуете обрабатывать передаваемые в sql запрос данные из формы, для исключения возможности вложенных запросов и манипуляций с sql-запросом, недобросовестными посетителями сайта?
Желательна статья.
Спасибо

 

[Wicked]

1) использовать механизм плейсхолдеров, например. Такое есть в PDO, mysqli, а также врапперах типа DB_Simple, и т.д.

2) если запросы собирать руками, то для строк нужно использовать mysql_real_escape_string(), mysqli::escape_string(), PDO::quote().

3) intval() и им подобное для форсированного приведения к нужному типу.

 

[Фанат]

офигеть.
Line. Ты за столько лет не удосужился заглянуть на phpfaq.ru?

 

[Line]

*****
Все что перечислил Wicked используем.
Желание исключительно почитать, помню где-то были статьи, а где именно не помню.

 

[Фанат]

вот я и удивляюсь.

 

[fixxxer]

фигасе

какие нафиг статьи. надо соблюдать синтаксис языка, конструкции которого генерируешь. всё

 

[Wicked]

Line
откуда тогда те дырки в сайте, который ты выставлял на тестирование?

 

[Line]

не дошли руки до пользовательской части конкретного проекта. Дела в том, обычно мы настраиваем PHP на автоматическое экранирование управляющих символов, а в данном случае по дефалту опция отключена осталась. Зато теперь превосходно справились с этой задачей ;-)

 

[tf]

Line, тут смотри - http://phpfaq.ru/

 

[Wicked]

Дела в том, обычно мы настраиваем PHP на автоматическое экранирование управляющих символов, а в данном случае по дефалту опция отключена осталась.

magic_quotes что ли?

 

[Koc9k]

видимо да , только я не понял , по какому дефолту она отключена -.-

 

[Line]

Koc9k
В настройках php

 

[Wicked]

Line
дак вот, magic quotes = зло, поэтому я обычно рассчитываю, что они выключены. А на случай, если включены, сначала откатываю вносимые ими изменения, и работаю по схемам, описанным в моем первом комментарии. Кстати, как ты можешь заметить, addslashes там тоже нету.

 

[Line]

Wicked
" на случай, если включены, сначала откатываю вносимые ими изменения" - аналогично поступаем

 

[Фанат]

обычно мы настраиваем PHP на автоматическое экранирование

сначала откатываю - аналогично поступаем

Line
чем больше ты пишешь в этот топик, тем больше позоришься.

 

[Line]

Фaнaт
Я лично ничего позорного, в функции принудительного слеширования я не вижу...

 

[kruglov]

Line
Это навроде детских боковых колесиков у велосипеда. Можно даже привыкнуть и не мыслить себе катания без них. Но окружающим смешно.

 

[Фанат]

Line
Дело не в том, что функция позорная.
А в том, что в одной строчке ты пишешь одно, а в другой - противоположное.
Осюда следует вывод: ты не понимаешь вообще о чем пишешь.
И дыры в твоих сайтах будут всегда.

 

[Line]

Фaнaт
Абсолютное заблуждение.
Проще смотрите на высказывания, т.к. очень часто, четко понимая суть вопроса, некорректно, получается высказать мысль. Это естественно и нормально.
Не существует людей, которые на 100% были бы в теме. Так уж устроен человек...
А здесь мы, чтобы пополнять свои знания. Или как главный модератор форума, у вас другие мысли на этот счет?

 

[Фанат]

Да, разумеется.
Ты себе льстишь, как стареющая куртизанка.
Четко суть вопроса понимает тут кто угодно, но только не ты.