SQL injection, preparare la sentenza sql

[robynosse]

Ciao a tutti,

sto cercando una soluzione al mio problema, dato questo codice:

<?phpinclude_once "classi/ClassDB.php";
$sql="select * from usuarios where login='".$_POST["nome"]."' and password='".$_POST["password"]."'";
$risultato=new DB($sql);
$linea=$risultato->getLinee();
if($linea!=null){    
session_start();    
$_SESSION['nomeUtente']=$linea['nombre'];
}
header("location:index.php");
?>

C'e' la possibilta di verificare le variabili $_POST["nome"] e $_POST["password"] in modo da evitare che l'utente inserisca codice sql all'interno della mia sentenza assegnata alla variabile $sql?
...prima di passarla come parametro quando istanzio la classe 'new DB($sql)'.

Grazie,
Roberto

[badaze]

Prima cosa. Se il codice utente è lungo 10 caratteri ad esempio perché non limitare la stringa a 10 caratteri. Difficile immettere del SQL cosi. Stessa cosa per la password.

$nome = substr($_POST["nome"],1,10); 

Seconda cosa. Usare md5 o altra funzione di criptaggio. Li puoi anche non avere limiti di caratteri.
Ovviamebnte nel db i dati devono essere stati registrati con lo stesso criptaggio. Ovviamente bis, devi anche avere un campo utente in chiaro.

$nome = md5($_POST["nome"]); 

[robynosse]

Prima cosa. Se il codice utente è lungo 10 caratteri ad esempio perché non limitare la stringa a 10 caratteri. Difficile immettere del SQL cosi. Stessa cosa per la password.

$nome = substr($_POST["nome"],1,10); 

Seconda cosa. Usare md5 o altra funzione di criptaggio. Li puoi anche non avere limiti di caratteri.
Ovviamebnte nel db i dati devono essere stati registrati con lo stesso criptaggio. Ovviamente bis, devi anche avere un campo utente in chiaro.

$nome = md5($_POST["nome"]); 

Io vorrei evitare che l'utente possa scrivere una cosa del genere e che le due variabili assumano questi valori:

$_POST["nome"]="a' or 'b'='b";
$_POST["password"]="a' or 'b'='b";

data la stringa:

$sql="select * from miaTabella where login='".$_POST["nome"]."' and password='".$_POST["password"]."'";

Per cui la select risultante sarebbe:

select * from miaTabella where login='a' or 'b'='b' and password='a' or 'b'='b'

[luca200]

Basta fare l'escape delle stringhe, con mysql_real_escape_string() o equivalente