Søg
Avatar billede mstorgaard Praktikant
04. november 2006 - 17:01 Der er 7 kommentarer og
1 løsning

Sikkerhed i forhold til $_POST og $_GET i mysqlquery

Jeg havde lavet et login-script, og havde postet det på Eksperten, hvorefter jeg fik noget hjælp med sikkerheden.
I den forbindelse fik jeg en lille reminder om at man _ALDRIG_ må indsætte en $_POST eller $_GET værdi direkte i en MySQL-query.
Udvikler: "Du må _ALDRIG_ indsætte en POST eller GET værdi direkte ind i en MySQL kode, du skal først lave den om til en variabel og tjekke den."

1. Hvorfor må man ikke det?
2. Gælder reglen også for $_SESSION og $row?
3. Hvordan tjekker man dem?
Avatar billede coderdk Praktikant
04. november 2006 - 17:03 #1
Det må du også godt, men du skal ALTID checke brugerinput. En måde ville være:

$sql = "UPDATE tabel SET tekstfelt = '" . mysql_real_escape_string( strip_tags( $_POST['brugerinput'] ) ) . "' WHERE id = '" . mysql_real_escape_string( $_POST['id'] ) . "'";
Avatar billede mstorgaard Praktikant
04. november 2006 - 17:05 #2
Hvad gør funktionen strip_tags()?
Avatar billede jensgram Nybegynder
04. november 2006 - 17:10 #3
Fjerner alle HTML-tags <...>
Avatar billede mstorgaard Praktikant
04. november 2006 - 17:12 #4
Okay, tak for hjælpen.

Hvad med nummer 2?
Avatar billede coderdk Praktikant
04. november 2006 - 17:13 #5
Den kan også fjerne nogle tags og lade andre være: http://dk.php.net/strip_tags
Avatar billede coderdk Praktikant
04. november 2006 - 17:14 #6
Nej og jo, ved $_SESSION og $row er det SOM REGEL altid dig selv der sætter, det er næsten aldrig brugerinput der bliver gemt i sådanne. Men en god tommelfingerregel er ALTID at benytte mysql_real_escape_string når du indsætter tekst ;)
Avatar billede mstorgaard Praktikant
04. november 2006 - 17:24 #7
Okay, tak. Du må gerne smide et svar :)
Avatar billede coderdk Praktikant
04. november 2006 - 17:33 #8
Ok (c:
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Webudvikling kurser
Vi tilbyder markedets bedste kurser inden for webudvikling
Se alle Webudvikling kurser

Flere spørgsmål fra PHP kategorien

Titel Indlæg Oprettet Seneste aktivitet
System til bordreservation Af Strawberry i PHP 3 20/07/202611:23 31/07/202620:50
Bruge PHP til at hente hjemmeside med fsockopen Af Strawberry i PHP 18 29/01/202613:08 02/02/202610:29
Hjemmeside der virker både på mobil og computer Af Strawberry i PHP 6 25/01/202620:06 30/01/202618:53
Hvordan får jeg reCAPTCHA på min hjemmeside? Af Strawberry i PHP 1 20/01/202621:11 23/01/202618:04
MS Graph vis kalenderaftaler Af dane022 i PHP 0 06/11/202508:43 -
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
I dag 11:04 Outlookproblem Af g91 i E-mail programmer
I dag 09:21 Firefox - Bøvl med idelig genbekræftelse af identitet Af andershl i Browsere
I går 15:14 Sætte billeder ind i google sheets ark ud fra elev nummer Af lurup i Excel
16/0822:58 Kan man undgå at få vist referer når der klikkes på links Af Strawberry i Browsere
16/0812:21 Er det svindel eller fra Microsoft Af mort1 i Andet sikkerhed
White papers
Flere white papers »