[PHP][mysql] anti SQL injection

[Verwijderd]

Op dit moment probeer ik een simpele aanmeldsite in elkaar te zetten. Mensen moeten zich hierop kunnen aanmelden. Dmv een aantal invoervelden moeten ze een deel gegevens zoals naam, klas, nickname, email invoeren. Deze gegevens worden opgeslagen in een mysql database. Een deel gegevens wordt ook weer op de site weergegeven. Op dit moment probeer ik een beveiliging te schrijven tegen sql injection. In de boeken die ik heb vind ik overal wel dat het heel belangrijk is om iets tegen sql injection te doen plus een paar kleine stukjes code, maar ik ben de draad een klein beetje kwijt geraakt. Ik heb alles maar bij elkaar gezet in een functie:

code:

function cleanup_text ($value="")
{
    $value =strip_tags($value);
    $value =stripslashes($value);
    $value = addslashes($value);
    $value =htmlspecialchars($value);
    $value =htmlentities($value);
    $value = mysql_escape_string($value);
    return $value;
}

Dit geeft natuurlijk niet helemaal het gewenste resultaat. Ik heb er geen idee van welke codes ik in welke volgorde moet gebruiken. Zou er iemand mij een kleine uitleg kunnen geven. Ik ben absoluut niet te beroerd om er moeite voor te doen.

Het is overigens de bedoeling dat alle html/php codes zonder pardon worder weggegooid. Verder mogen alle tekens gebruikt worden. Een nickname kan uit alle tekens bestaan. Maar ik wil wel veilig zijn voor injections.

[ Voor 10% gewijzigd door Verwijderd op 27-01-2005 17:03 ]

[LuCarD]

Wat doet elke functie die je aanroept? ( hint staat in de manual www.php.net/<functienaam> )
En dan zul je vanzelf zien welke functie's dubbel zijn...

[NMe]

PHP:

    $value =stripslashes($value); // haal escape characters weg
    $value = addslashes($value); // voeg escape characters toe
    $value = mysql_escape_string($value); // voeg escape characters toe

Je overdrijft het IMHO een beetje. Om SQL injectie te voorkomen hoef je alleen maar addslashes te gebruiken bij het opslaan, en stripslashes bij het ophalen. Eventueel kun je nog een htmlspecialchars over de string laten gaan, maar dan liever bij het ophalen dan bij het opslaan. Dat scheelt je wat ruimte in de database.

[Bosmonster]

Stripslashes bij het ophalen zou niet nodig moeten zijn. Het is slechts om een geldige en niet de manipuleren query te veroorzaken. De quotes komen natuurlijk niet in de database terecht.

[curry684]

Mmmmmja dit moet je toch met een kwartiertje www.php.net zelf ook wel kunnen oplossen, die documentatie is verdomd helder Beetje logisch nadenken erbij over welke omstandigheden kunnen leiden tot SQL cq. HTML-injection en je bent klaar

Al met al niet echt een topic waard