Bezpieczeństwo, SQL, PHP

pytanie zadane 19 marca 2017 w SQL, bazy danych przez kacperl95 Obywatel (1,980 p.)

Cześć, zaprogramowałem stronę internetową z wieloma możliwościami jedną z nich jest zalogowanie się i komentowanie postów. Jak właściwie sprawdzić czy na pewno wszystko jest bezpieczne i nikt nie zniszczy mi stronki wpisując kod w formularzu, czy też nie zastosuje wstrzykiwania SQL?

Czy funkcje które użyłem wystarczą?

sprintf($sql, mysqli_real_escape_string($polaczenie,$zmienna));
mysqli_real_escape_string($polaczenie, $zmienna)
htmlentities($zmienna, ENT_QUOTES, "UTF-8");

Dodatkowo, dla wszystkich pól z wyjątkiem hasła, użyłem opcję "pattern". Na przykład:

<input type="text" name="login" placeholder="e-Mail" maxlength="60" pattern="[a-zA-ZąęółśżźćńĄĘÓŁŹŻŹĆŃ@0-9.]{3,125}" oninvalid="alert(\'Wpisz prawidłowy adres e-Mail!\')" />

1 odpowiedź

odpowiedź 19 marca 2017 przez Arkadiusz Waluk Ekspert (287,950 p.)
wybrane 19 marca 2017 przez kacperl95

Najlepsza

Wystarczy jedno: użyć bindowania wartości. Dzięki temu samo zapytanie przesyłane jest do bazy osobno i wartości osobno, przez co nie ma możliwości wykonania ataku sql injection.

Edit: chociaż htmlentities możesz sobie zostawić, jeśli będą pobierane jakieś dane, które później będziesz wyświetlał gdzieś na stronie - dzięki temu gdy ktoś wrzuci kod HTML to nie zostanie zinterpretowany. Zależy czego potrzebujesz, do zabezpieczenia przed sql injection przy bindowaniu nie jest ono potrzebne.