Filtrowanie danych wejściowych do bazy.

Question

Witam serdecznie.

Pytanie jest czysto dopełnieniem wiedzy.

Jak zabezpieczyć dane przed wysłaniem do bazy?

Jak dotąd używam funkcji "addslashes", "htmlentities".

Odpowiednio przy danych wyjściowych z bazy "stripslashes", "html_entity_decode".

Zastanawiam się czy jest to wystarczające zabezpieczenie, może któreś jest przestarzałe, może nie wydajne i są wydajniejsze.
Proszę o szersze opisanie i wyjaśnienie.

Pozdrawiam.

Answer 1

https://pl.wikipedia.org/wiki/SQL_injection#Zabezpieczanie_przed_atakiem

Answer 2

Jako zabezpieczenie dla samej bazy danych wystarczy użyć bindowania. Wtedy zapytanie wysyłane jest do bazy osobno i wartości osobno, nie ma więc żadnej możliwości wykonania ataku sql injection. Pytanie tylko co z tymi danymi później robisz. Jeśli np. prosto z bazy wyświetlasz na stronie i wcześniej nie walidujesz to wypadałoby zadbać o usunięcie kodu HTML/JS bo przy zwykłym wyświetleniu się wykona.

Answer 3

Bindowania używam.

Czy jeżeli użyje "htmlspecialchars" przy danych wyjściowych z bazy to wystarczy?

Comments

Bindowanie i nic więcej. Przy wprowadzaniu danych wystarczy walidacja, tj. czy dane, które wprowadził user spełniają kryteria, które gdzieśtam zakładałeś, np. login nie ma polskich znaków.