Sikkerhed ved bruger-input

www.php.net/mysql_real_escape_string

eller endnu bedre, brug prepared statements i følgende:

www.php.net/mysqli
www.php.net/PDO

Derudover skal du validere din input data, ikke bare escape "ond" kode.

til validering:

www.php.net/filter
og
www.php.net/ctype

Du bør typecast alt data når du kan, enten via. direkte typecast, sprinf, eller prepared statements.

strip/addslashes beskytter faktisk slet ikke :-) Det er ihvertfald kun mod diverse script-kiddies.

WOUW... det vil tage mig en måned at gå igennem, alt det du har sendt :)
Nu er det jo ikke NASA, jeg har med at gøre :) så hvis du skal koge alle disse sider ned til det vigtigste, du kender til sikkerhed, hvordan lyder det så?

Kan du give et eksempel med på det, du forslår, kunne det være kanon!!

Prøv at kigge på htmlentities, ved dog ikke om det er 'bedre' end en mysql_real_escape_string()

php.net/htmlentities

måske kan windcape lige komme med en kommentar om hvilken der er bedst? :-)

htmlentities er noget HELT andet. har intet med string_escpe at gøre :p
Det laver bare html om til entities, dvs. < til &lt; og > til &gt;

-

Summa summarum: typecasting er vigtig, dvs. du ikke tillader "en","to" osv. for et felt som skal indeholde 1,2,3 etc.

At bruge sprintf er meget smart, se f.eks. hvordan jeg gør her:

http://www.dragons-lair.org/module/repository/PHP/Guestbook/Guestbook.php#72

navne: ctype_alnum

adresser: del op i adresse og nummer, og brug så alnum igen, og typecast nummeret til integer

telefon numre: ctype_digit + størrelse check med strlen

Det her begynder at blive noget avanceret... kan jeg ikke få at vide på en enkel måde (på danske), hvad jeg bør gøre for at sikre mig i bruger-felter, uden det er NASA sikkerhed? ;-)

Hvis du synes dette her er advanceret, bør du SLET IKKE kode php. Dette her er så grundlæggende som det kan blive.

Okay, det skal jeg huske. Tak for hintet.

windcape, jeg håber, du lige vil give mig den sidste hjælp :)

Hvis jeg bruger mysql_real_escape_string, kan jeg så slippe for at bruge htmlentities, eller skal man bruge begge to?

Hvis jeg bruger dit eksempel med sprintf($sql,mysql_real_escape_string($name)), er det så kun, når jeg gemmer i databasen, jeg bruger det, eller skal jeg trække ud på samme måde?

windcape, du ydede en god hjælp så smid et svar, så er der point til dig!!

windcape, du fik aldrig dine point den gang, smider du lige et svar, så du kan få dem?

Oki, jeg lukker. Godt nytår :)