PHP: Filter meine Eingabefelder

Question

Wie kann ich meine Eingabefelder .. wie eingehende Filter $ _POST, $ _GETs etc ..

Ich bin mit Prepared Statements mit PDO, so i übertragen nur die $ _POST direkt an das PDO (nicht mehr mysql_real_escape_string).

Aber Beispiel ich übertrage ein $ _POST var in ein $ _SESSION und jetzt mache ich es direkt, aber sollte ich es nicht irgendwie filtern? PDO ist nur für die Datenbank, was ist in "allgemein"?

Answer 1

Sie sollten auch die Daten überprüfen. Wenn Sie eine ganze Zahl einfügen, überprüfen Sie sie zuerst mit is_numeric().

Wenn Sie eine E-Mail-Adresse erwarten, vergewissern Sie sich, dass sie mit einer E-Mail-Regexp übereinstimmt.

Sie sollten solche Prüfungen immer an Daten vornehmen, die Sie in die Datenbank einfügen.

Sobald die Daten für das Einfügen in die Datenbank überprüft wurden, können Sie in Sitzung sicher verwenden.

Dies wird dazu beitragen, XSS-Angriffe zu verhindern und Ihre Daten sauber zu halten.

Answer 2

Vielleicht gefällt Ihnen das. Nicht perfekt, aber es ist gut.

function clear($data) 
    { 

     $data = addslashes($data); 
     $data = strip_tags($data); 
     $data = mysql_real_escape_string($data); 
     $bir = array('/\//', '/\^/', '/\./', '/\$/', '/\|/', '/\(/', '/\)/', '/\[/', '/\]/', 
      '/\*/', '/\+/', '/\?/', '/\{/', '/\}/', '/\,/'); 
     $iki = array('\/', '\^', '\.', '\$', '\|', '\(', '\)', '\[', '\]', '\*', '\+', '\?', 
      '\{', '\}', '\,'); 
     $data = preg_replace($bir, $iki, $data); 
     return $data; 

    } 

// USAGE 
clear($_GET[]) or clear($_POST[]) 

Alsı, müssen Sie Variablen mit is_numeric, is_boolen, is_string Funktionen überprüfen.

Answer 3

Solange Sie einen Ausgang von $_SESSION filtern, müssen Sie ihn vor der Einstellung nicht filtern. Eine gute Möglichkeit, zu filtern, zu erinnern ist, mit einer einfachen raw_ Namenskonvention:

$_SESSION['raw_val'] = $_POST['val']; 

diese Weise können Sie den Wert für später gespeichert haben, wenn Sie möchten, den Wert in einer anderen Art und Weise filtern:

$_SESSION['filter1_val'] = applyFilter1($_SESSION['raw_val']); 
$_SESSION['filter2_val'] = applyFilter2($_SESSION['raw_val']); 

Natürlich kann es eine gute Idee sein, die Größe von $_POST['val'] zu validieren, so dass Sie nicht große Datenmengen in Ihrer Sitzung vars speichern.

Answer 4

Try-Eingänge wie

'"'

geben Wenn Ihr Code bricht yu wissen, dass Ihre Eingabe gefiltert werden muss.

Durch regulären Ausdruck für Alphabeten und Numerik filetering kann auch Ihnen helfen

Jedes Forum oder Artikel sagt, dass vorbereitete Aussage frei von SQL-Injektion sind.

Aber ich denke, wenn Sie die vorbereitete Aussage nicht richtig machen, wird es brechen.

Wenn Sie SP verwenden, testen Sie das auch.