Формат данных поступающих с форм

[STRELOK]

Формат данных поступающих с форм

Ну допустим есть форма регистрации пользователя, пока в ней всего 4 поля: логин, почта, пароль, подтверждение пароля.

Реализовал проверку на заполненность всех полей, существование такого юзера в бд, существование юзера с таким адресом почты, совпадение паролей. Если все норм, то добавляем его в бд. Все замечательно. Просто и работает. Но это не главное.

Хочу теперь проконсультироваться по поводу самих данных.
1) Как должен выглядеть правильный пароль (какие символы в него разрешать включать)
2) Как должен выглядеть правильный адресс электронной почты?
3) Как должен выглядеть правильный пароль?
4) Что еще и как проверять?

Много информации нашел по поводу всяких SQL атак, и прочего, но везде одно и тоже =( Не нашел комплексной статьи где все написано от А до Я.
Самое главное не могу правильно сформулировать запрос в поисковике.

Надеюсь на помощь =)

 

[dimagolov]

http://phpfaq.ru/safety
http://phpfaq.ru/slashes
http://phpfaq.ru/mail

 

[STRELOK]

Спасибо, прочитаю! =)

-~{}~ 05.01.10 17:05:

Не, это я уже читал. Не то все это...

 

[dimagolov]

Не то все это...

а что тебе нужно? регулярку проверять формат мыла? конкретно такой вопрос тут обсуждали, поиск вас спасет (с)

 

[STRELOK]

Самое главное не могу правильно сформулировать запрос в поисковике.
=)))

 

[Beavis]

STRELOK
1) любые
2) имя_пользователя@домен
3) см п.1
4) можешь больше ничего не проверять

 

[Фанат]

при регистрации пользователей SQL атак не бывает
это все бабкины сказки.

и формат данных, поступающих из форм, не имеет к SQL никакого отношения

 

[FB3]

еще можно использовать поддержку prepared statements и вообще забыть про SQL атаки...

 

[STRELOK]

А что это?

 

[Вурдалак]

http://lmgtfy.com/?q=prepared+statements

 

[Фанат]

FB3, это заблуждение.
для имен полей, к примеру, подготовленных выражений не существует. то есть, инъекции все равно есть.

и при обычной вставке строк тоже можно точно так же забыть про SQL атаки. разницы никакой.

не надо вот этих детских сказок про волшебную палочку.

 

[fixxxer]

Не, ну если кто-то подставляет имена таблиц/полей из параметров запроса, и при этом пишет не phpMyAdmin, то это выстрел самому себе в ногу.

Другой вопрос, что prepared-ов в их классическом виде бывает недостаточно.

 

[Фанат]

ну вот об этом и речь. что единственный реальный инжекшен - это тот самый выстрел в ногу. а все остальные - тупое несоблюдение синтаксиса.
а уж в каком оно виде - препареды или кавычки - без разницы.

 

[FB3]

Не, ну если кто-то подставляет имена таблиц/полей из параметров запроса, и при этом пишет не phpMyAdmin, то это выстрел самому себе в ногу.

Я бы никогда не додумался подставлять их из запроса

Другой вопрос, что prepared-ов в их классическом виде бывает недостаточно.

А где про это почитать?

 

[Фанат]

"я бы никогда не додумался" - это, как бы, не методика и не библиотека. один додумался, второй не додумался.

про что тебе надо почитать?
вот у тебя выводится таблица с сортировкой.
добавь в запрос сортировку по выбранному пользователем полю с помощью prepared-ов