Меню
Что нового?

Формат данных поступающих с форм

  • Автор темы Автор темы STRELOK
  • Дата начала Дата начала
STRELOK

STRELOK

Новичок
Формат данных поступающих с форм

Ну допустим есть форма регистрации пользователя, пока в ней всего 4 поля: логин, почта, пароль, подтверждение пароля.

Реализовал проверку на заполненность всех полей, существование такого юзера в бд, существование юзера с таким адресом почты, совпадение паролей. Если все норм, то добавляем его в бд. Все замечательно. Просто и работает. Но это не главное.

Хочу теперь проконсультироваться по поводу самих данных.
1) Как должен выглядеть правильный пароль (какие символы в него разрешать включать)
2) Как должен выглядеть правильный адресс электронной почты?
3) Как должен выглядеть правильный пароль?
4) Что еще и как проверять?

Много информации нашел по поводу всяких SQL атак, и прочего, но везде одно и тоже =( Не нашел комплексной статьи где все написано от А до Я.
Самое главное не могу правильно сформулировать запрос в поисковике.

Надеюсь на помощь =)
 
Спасибо, прочитаю! =)

-~{}~ 05.01.10 17:05:

Не, это я уже читал. Не то все это...
 
Самое главное не могу правильно сформулировать запрос в поисковике.
=)))
 
STRELOK
1) любые
2) имя_пользователя@домен
3) см п.1
4) можешь больше ничего не проверять
 
при регистрации пользователей SQL атак не бывает
это все бабкины сказки.

и формат данных, поступающих из форм, не имеет к SQL никакого отношения
 
еще можно использовать поддержку prepared statements и вообще забыть про SQL атаки...
 
FB3, это заблуждение.
для имен полей, к примеру, подготовленных выражений не существует. то есть, инъекции все равно есть.

и при обычной вставке строк тоже можно точно так же забыть про SQL атаки. разницы никакой.

не надо вот этих детских сказок про волшебную палочку.
 
Не, ну если кто-то подставляет имена таблиц/полей из параметров запроса, и при этом пишет не phpMyAdmin, то это выстрел самому себе в ногу.

Другой вопрос, что prepared-ов в их классическом виде бывает недостаточно.
 
ну вот об этом и речь. что единственный реальный инжекшен - это тот самый выстрел в ногу. а все остальные - тупое несоблюдение синтаксиса.
а уж в каком оно виде - препареды или кавычки - без разницы.
 
Не, ну если кто-то подставляет имена таблиц/полей из параметров запроса, и при этом пишет не phpMyAdmin, то это выстрел самому себе в ногу.
Нажмите для раскрытия...
Я бы никогда не додумался подставлять их из запроса :)
Другой вопрос, что prepared-ов в их классическом виде бывает недостаточно.
Нажмите для раскрытия...
А где про это почитать?
 
"я бы никогда не додумался" - это, как бы, не методика и не библиотека. один додумался, второй не додумался.

про что тебе надо почитать?
вот у тебя выводится таблица с сортировкой.
добавь в запрос сортировку по выбранному пользователем полю с помощью prepared-ов
 
Войдите или зарегистрируйтесь для ответа.
Сверху