Php Einfügen von Daten zu MySQL von Web Form sicher

Question

ich php lernen und wurden im Anschluss an die OOP eine Datenklasse Tutorial Erstellung bei phpbridge.org

Im Tutorial Daten, die sie nehmen Form von einem Pfosten und in die Datenbank einfügen. Hier

ist der Code:

Schritt 1: Das Formular

<h2>New Topic</h2> 
<form action="add.php" method="POST"> 
    <label> 
     Title: <input type="text" name="title"> 
    </label> 
    <br> 
    <label> 
     Description: 
     <br> 
     <textarea name="description" cols="50" rows="20"></textarea> 
    </label> 
    <br> 
    <input type="submit" value="Add Topic"> 
</form> 

Schritt 2 Php Datei

<?php 
require 'TopicData.php'; 

if (isset($_POST) && sizeof($_POST) > 0) { 
    $data = new TopicData(); 
    $data->add($_POST); 
} 
?> 

Schritt 3

Die Funktion in TopicData.php enthalten

public function add($data) 
{ 
    $query = $this->connection->prepare(
     "INSERT INTO topics (
      title, 
      description 
     ) VALUES (
      :title, 
      :description 
     )" 
    ); 

    $data = [ 
     ':title' => $data['title'], 
     ':description' => $data['description'] 
    ]; 

    $query->execute($data); 
} 

Meine Frage ist in Bezug auf Sicherheit. Bevor diese Daten in eine Datenbank eingefügt werden, wäre es nicht empfehlenswert, jedes Feld des Formulars über die Funktion filter_input() auszuführen. Sollten diese auch durch filter_var() laufen?

Wenn dies erforderlich ist, wie genau würde der Filtercode aussehen?

Danke!

Answer 1

Die Datei TopicData.php verwendet vorbereitete SQL-Abfragen. Der Vorteil der Verwendung von vorbereiteten Abfragen besteht darin, dass die Möglichkeit einer SQL-Injection ausgeschlossen wird, sofern die SQL-Abfrage nicht auf externen Eingaben basiert. Bei Verwendung vorbereiteter Abfragen wird die Vorlage der Abfrage getrennt von den Daten gesendet. Dies hat viele Vorteile, die hier beschrieben werden: https://www.w3schools.com/php/php_mysql_prepared_statements.asp

Es beseitigt die Notwendigkeit, Formulardaten zu desinfizieren. Allerdings müssen die Formulardaten möglicherweise noch mit den Funktionen filter_var gefiltert werden, wenn eine Validierung erforderlich ist, z. B. maximale Stringlänge, maximale und minimale Werte usw.