[beveiliging] php vs XSS+SQL insertion

[UltimateB]

Ik vraag me af, ik heb een aantal dingen gezelen over Cross Site Scripting (XSS) en SQL insertion en wil dit afvangen.

Zou een functie als de volgende hiervoor in aanmerking komen en alles afvangen? Mits deze goed geplaats is natuulijk.

PHP:

function fix($string) {
  $string = AddSlashes("$string");
  $string = htmlentities("$string");
  return $string;
}

Graag jullie inzichten.

[.oisyn]

Mja, hier kunnen we weinig mee. Bovendien is er erg veel te vinden op het internet hierover, misschien is het handig als je je er eerst een beetje in verdiept ipv met een klein stukje code te komen en dan te vragen of het goed is, terwijl we niet eens de context kennen.

[google=cross site scripting sql injection]

addslashes voorkomt natuurlijk SQL injection. Htmlentities echter niet, maar dat is alleen relevant als je het output (je kunt er natuurlijk voor kiezen om ivm performance het al om te zetten voor je het in de db zet, maar dat zeg je er niet bij, en bovendien moet je addslashes en htmlentities dan natuurlijk omdraaien (dat wat je in de db wil zetten is htmlentities ($string), een aangezien je dat wat je in de db wil zetten moet addslashesn, moet je dus addslashes (htmlentities ($string)) doen).

[ Voor 6% gewijzigd door .oisyn op 05-05-2004 02:19 ]