Forum Debian Users Gang

Filtrować możesz w samym PHP. Zależy też od tego jakiego typu zmiennych się spodziewasz i robić rzutowanie typów. np.

$zm = intval($_POST['mojaliczba']);

jeśli tekstowo to już gorzej ale od czego są wyrażenia regularne :) do tego w PHP masz przydatne funkcje jak np.

addslashes(), stripslashes(),

Pozwolę sobie odświeżyć temat bo to dość istotne.
warto poczytać o funkcji w php

mysql_real_escape_string

Używamy ją tak

<?
$jakiś_get=$_GET['jakis_get];
echo mysql_real_escape_string($jakiś_get);
?>

co tutaj się dzieje zamienia nam znaki " i ' na slesze.
Czyli zabezpiecza naszą stronę przed atakiem typu SQL Injection(warto poczytać)

A co do formularzy powinno się sprawdzać czy nie zawierają nie pożadanych ciąglów znaków
ja to robiłem tak

function zle_znaki($string)
{
$zakazane = array {"admin", "@"," "};
$o=str_replace($zakazane, "blabla", $string);
if($o!=$string)
{
echo "cos tutaj robie jak mi sie nie podoba";
}

tego typu funkcja zabezpieczała moje pola loginów.

Jeśli nie zabezpieczymy loginów to byle szczeniak może nam narobić syfu.
Warto poczytać o atakach typu XSS, SQL injection, i zewnętrznych includach.

ZiomekPL napisał(-a):

ewentualnie mod_security do apacha doinstalowac :)....

A nie prościej  lighttpd albo nginx - i zamiast tysięcy reguł w stylu (czego w zapytaniu GET|POST być nie powinno - jak w mod-security), jedna reguła składająca się z regexu, określającego co w zapytaniu może się znaleźć.

Dużo prostsze i lżejsze rozwiązanie.

Zresztą w apachu w modulach rewrite i mod-security tez można coś podobnego regexem osiągnąć.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-02-23 02:15:45)