Тип переменной из $_POST
- Автор темы igortik
- Дата начала
Как правильно говорит dimagolov, обсуждать тут нечего.
уж с 2006 года хотя бы азбуку можно было бы выучить.
Сначала надо понять, что валидация к ошибкам запроса не имеет никакого отношения. Запрос можно составить валидный из любых данных.
сначала надо научиться составлять запросы. Вообще. Без привязки к посту, данным, клиентам, и валидам с инвалидами.
потом делать все остальное
уж с 2006 года хотя бы азбуку можно было бы выучить.
Сначала надо понять, что валидация к ошибкам запроса не имеет никакого отношения. Запрос можно составить валидный из любых данных.
сначала надо научиться составлять запросы. Вообще. Без привязки к посту, данным, клиентам, и валидам с инвалидами.
потом делать все остальное
igortik
Новичок
Beavis
Согласен, рассматривал dbsimple, потом понял, что надо свое написать, ну не люблю я использовать сторонние разработки и все.
Посмотрел PDO, интересный вариант!
Но опять же ...
http://www.php.net/manual/en/pdo.query.php
*Data inside the query should be properly escaped.
т.е. панацеи нет, кроме как светлый разум и заведомая работа со значением переменных, являющихся частью запроса
-~{}~ 16.02.10 00:04:
*****
Дай я что-нить в тебя тяжелое запущу ))))
Ты успокоишься уже с этими запросами и валидациями?
)))
Согласен, рассматривал dbsimple, потом понял, что надо свое написать, ну не люблю я использовать сторонние разработки и все.
Посмотрел PDO, интересный вариант!
Но опять же ...
http://www.php.net/manual/en/pdo.query.php
*Data inside the query should be properly escaped.
т.е. панацеи нет, кроме как светлый разум и заведомая работа со значением переменных, являющихся частью запроса
-~{}~ 16.02.10 00:04:
*****
Дай я что-нить в тебя тяжелое запущу ))))
Ты успокоишься уже с этими запросами и валидациями?
)))
ARAM_INT);
igortik
Новичок
В общем-то, спасибо всем, кто делился советом!
В особенности спасибо Beavis за ссылку на PDO.
Вижу пока лишь смысл дальше юзать свой класс-аналог dbsimple, расширяющийся по мере надобности.
Ну и останусь в таком случае при мнении, что ничего, кроме как вручную все проверять не остается.
В особенности спасибо Beavis за ссылку на PDO.
Вижу пока лишь смысл дальше юзать свой класс-аналог dbsimple, расширяющийся по мере надобности.
Ну и останусь в таком случае при мнении, что ничего, кроме как вручную все проверять не остается.
Leonid
PHP? нет, не слышал...
Я делаю так:
для каждой переменной использую префикс
int_, str_, real_, html_
<input type="Text" name="int_count">Количество товара
<input type="Text" name="real_price">Цена
<input type="Text" name="str_title">Название товара
Перед обработкой формы запускаю функцию , которая просматривает $_POST и значение всех переменных приводит к нужному типу в соответствии с префиксом, заодно удаляет все недопустимые символы.
А потом эти переменные можно напрямую подставлять в mysql, не боясь SQL-инъекций
insert into table (title, price, count) values ('$_POST[str_title]', $_POST[real_price], $_POST[int_count])
-~{}~ 18.02.10 14:33:
да, SQL запрос тоже строится автоматически, из всех переменных, у которых есть префиксы. Нужно только указать insert или update, плюс id редактируемой записи для update
для каждой переменной использую префикс
int_, str_, real_, html_
<input type="Text" name="int_count">Количество товара
<input type="Text" name="real_price">Цена
<input type="Text" name="str_title">Название товара
Перед обработкой формы запускаю функцию , которая просматривает $_POST и значение всех переменных приводит к нужному типу в соответствии с префиксом, заодно удаляет все недопустимые символы.
А потом эти переменные можно напрямую подставлять в mysql, не боясь SQL-инъекций
insert into table (title, price, count) values ('$_POST[str_title]', $_POST[real_price], $_POST[int_count])
-~{}~ 18.02.10 14:33:
да, SQL запрос тоже строится автоматически, из всех переменных, у которых есть префиксы. Нужно только указать insert или update, плюс id редактируемой записи для update
Духовность™
Продвинутый новичок
Инъекции и приведение к типам - вещи разные. Надо разделять мух и котлет.
Если говорить о SQL-запросах, то обработку данных на этом этапе должна исполнять какая-нибудь библиотека а-ля PDO с плейсхолдерами (вот моя):
Код:
insert into table set a=?s, b=?idimagolov
Новичок
Leonid, ты, как и другие новички, не понимаешь, что для разных применений экранирование должно быть разное. для SQL запроса одно, для вывода в HTML другое, для включения в URL третье. и никакая универсальная обработка этого сделать не может ПРИНЦИПИАЛЬНО, а раз так, то и заморачиваться ею не нужно, а нужно обрабатывать там, где это действительно необходимо. дело в том, что эксейпить и проверять нужно ЛЮБЫЕ данные, а не только те, что из запросов.
Духовность™
Продвинутый новичок
Это никому не нужно.
dimagolov правильно написал, что "для разных применений экранирование должно быть разное и никакая универсальная обработка этого сделать не может ПРИНЦИПИАЛЬНО". Ибо нет смысла приводить переменную POST[id] к числовому типу, если она выводится в шаблоне, т.е. опять преобразуется в строку. И зачастую типизация нужна исключительно для СУБД. А вот данные для шаблонов и их хелперов-преобразователей лучше отдавать строкой, как они и приходят изначально.
dimagolov
Духовность™
Продвинутый новичок
Кстати, универсальная функция для всех request все же нужна. У меня она выглядит так в классе Request:
убивать пробелы в POST, например, просто необходимо. Когда я из текстового файла копирую пароли, то копируются иногда и пробелы и прочие гадости. И когда программа говорит, что мой пароль не верен - меня это выводит из себя. Делайте trim данным!
PHP:
/**
* Очищает request от пробелов и слэшей.
*
* @access private
* @param array
* @return void
*/
private static function clearRequest(&$in)
{
if ($in)
{
foreach ($in as $key => $value)
{
if (is_array($value))
{
self::clearRequest($in[$key]);
}
else
{
$value = trim($value);
if (get_magic_quotes_gpc())
{
$value = stripslashes($value);
}
$in[$key] = $value;
}
}
}
return $in;
}
// .....
{
$this->request_data = self::clearRequest($_REQUEST);
$this->post_data = self::clearRequest($_POST);
$this->get_data = self::clearRequest($_GET);
$this->cookie_data = self::clearRequest($_COOKIE);
}Духовность™
Продвинутый новичок
trimming надо делать в 100% случаев
Вурдалак
Продвинутый новичок
— ты текстовый редактор не реализуешь. Но это не особо важно, т.к. тут вопрос в другом: почему ты пихнул trim() именно в этот метод. Что такое «clearRequest»? Я это просто считаю неверным в корне как-то искажать данные, считая их «чистыми», «безопасными» или «хорошими». Это уже не request, это нечто иное.