Bezpečnost vstupů

4. 7. 2010 12:16:30

Zdravím.

Mám pár otázek ohledně bezpečnosti vstupů. Jde převážně o kontrolu a úpravu dat před jejich použitím v SQL dotazu.

Pro textové prvky používám mysql_real_escape_string. Addslashes má údajně nějakou díru, která se dá využít pomocí určitého multibyte stringu. Někdo třeba používá PDO, která se o ochranu dat stará za vás.

Pro číselné položky používám pouze u vstupu dat kontrolu is_numeric. Stačí to? Musím cpát do dotazu navíc intval?

Musím kontrolovat boolean vstupy? Je is_bool dostatečné?

Pro někoho to jsou zbytečné otázky, já to sem píšu, protože si nejsem jistý 100% bezpečností všech funkcí, které používám, a nechci časem zjistit, že funkce má nějakou díru (např. addslashes).

Dík

4. 7. 2010 12:16:30

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523689

Kamil Tomšík

(3 hodnocení)

4. 7. 2010 17:18:21

pouzivej pdo :-)

4. 7. 2010 17:18:21

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523688

pr0gr4mm3r

(4 hodnocení)

4. 7. 2010 17:24:24

Napsal vedouci;533242
pouzivej pdo :-)

Cílem mého dotazu bylo zjsitit, jestli jsou funkce, které používám bezpečné.

PDO je sice hezká věc, ale nyní nemám čas na přepis dotazů do pdo. Nyní řeším bezpečnost aplikace.

4. 7. 2010 17:24:24

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523687

Misty

5. 7. 2010 11:03:59

Co je PDO?

5. 7. 2010 11:03:59

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523686

Kamil Tomšík

(3 hodnocení)

5. 7. 2010 14:14:27

http://cz.php.net/pdo

1. je to abstrakcni vrstva nad databazemi - takze nejses tak moc vazanej na to, kterou konkretni db zvolis (mysql/pgsql/informix/oracle)

2. obsahuje tzv. prepared statementy - ktere jsou jednak (pise se to v manualu) o trosicku rychlejsi, ale hlavne je to bezpecenjsi - pokud pouzivas prepared statementy (a vyuzivas zastupne symboly - tzn. nelepis dotaz), tak nehrozi sql injection.

5. 7. 2010 14:14:27

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523685

Misty

18. 7. 2010 12:39:08

Díky za super vysvětlení.

18. 7. 2010 12:39:08

https://webtrh.cz/diskuse/bezpecnost-vstupu#reply523684

Petr Vacek

20. 7. 2010 00:25:03

php má od verze PHP 5 zajímavé funkce sloužící k ošetření vstupu dat, koukni se na http://www.php.net/manual/en/function.filter-input-array.php

osobně jsem to ještě nevyzkoušel, ale vypadá to použitelně.

20. 7. 2010 00:25:03