CARATTERI SPECIALI DA ELIMINARE

[Jarno]

poichè ricevo dei valori tramite POST dal client, e poi ci lavoro con PHP e MySQl volevo fare una sorta di filtraggio per eliminare i caratteri speciali che l'utente esperto potrebbe inserire per imbrogliare le ricerche sul sito

per esempio mi viene in mente di togliere "%" che nelle query mi farebbe sballare anche l'ID di sessione

non è che si può fare una pillolina che li riassuma tutti?

voi quali altri caratteri consigliate di togliere? :master:

[Jarno]

UNO O PIU' CARATTERI:
Php:
MySql: %

UN CARATTERE:
Php:
MySql:

ESCAPE:
Php: \
MySql:

APERTURA/CHIUSURA STRINGHE:
Php: " o '
MySql:

OPERATORI:
Php: tutti quelli in tab 15-1 di http://it.php.net/manual/it/language.operators.php
MySql:

SOMMA/CONCATENAZIONE:
Php: .
MySql: ,

ARRAY:
Php: [ ]

[}gu|do[z]{®©]

esiste una pillolina.. o quantomeno un articolo (forse entrambe le cose).. cerca con la chiave "sql injection"...
in ogni caso dai un'occhiata alle funzioni addslashes, mysql_escape_string, mysql_real_escape_string e alla direttiva magic quote gpc del php.ini

[Jarno]

ho continuato QUI

(mi auto modero )