proteggersi dalla sql injection

[verardoelvis]

ciao, qualche consiglio o codice per proteggersi dalla sql injection per favore????

pensavo di verificare che nei campi inseriti non ci siano apici o alcune parole di sql tipo and o or.


voi come fate?


mi mostrate qualche riga di codice per favore?


grazie
ciao

[zooloo]

Puoi usare la funzione addslashes() che inserisce gli slash(\) quando trova un apice (o un altro slash).

Ricordati di fare stripslashes() quando estrai dal database.

Occhio alla versione di PHP installata e al problema "magic quotes"

http://it.php.net/addslashes

[verardoelvis]

ho php 4.3.

solo con addslashes me la cavo per la sql injection???

grazie

[zooloo]

Puoi guardare questo articolo su html.it

http://php.html.it/articoli/leggi/89...l-injection/1/


Ciao

[lbottoni]

io prima di tutto uso una mia funzione come questa per i GET e POST

/** Converte i dati in UTF-8 come entita html
*
* Questa funzione preleva la variabile passata e lo restituisce
* modificato x evitare le injection. tutti i caratteri particolari vengono strasformati
* come entita html (Es: +  diventa %2b). Se viene passato il valore opzionale regexp, viene eseguito
* un test con la reg exp passata.
*
* <code>
* $GET=CleanInjection($_GET["var"],"[A-Za-z]{1,}");
* # Esegue anche una verifica che il dato $_GET["var"] sia di sole lettere.
* </code>
*
* @param string $Request valore da parsare
* @param string $RegExp valore [i]OPZIONALE[/i] che permette di eseguire una verifica sui dati con una regexp.
* @return boolean true in caso di successo
*/
function CleanInjection($Request=false,$RegExp="")
    {
    $Charset="UTF-8";
    if(VarExist($Request)==true)
        {
        if(VarExist($RegExp)==true)
            {
            /*Eseguo la RegExp*/
            if(@preg_match("/".$RegExp."/",$Request,$outPut)!=1)
                {return false;}
            }
        $Request=htmlentities($Request,ENT_QUOTES,$Charset);
        return $Request;
        }else{return false;}
    } 

$NewPost=CleanInjection($_POST["variabile"]); 

ti metto anche il commento inserito utile se parsi il codice con il PhpDocumentator.