Question

I m 试图在。

我是否需要确保像<条码>新月刊[第1页]<>/代码>和<条码>米sql_real_efall_string的功能? 例如:

$pagename = mysql_real_escape_string($row[ page_name ]);

Im 问,主要因为当我保障每行安全时,我在尝试<条码>时会发现一些错误,如:<条码>。

谁能向我表明这一点? 我是否只需要确保<代码>COOKIEs 或浏览费?

我在本职位上建议:HERE。 (略见选定的答案)

Answer 1

你们回过头来。简言之,$row is a row come out of the database. 页: 1 它阻止人们提交含有可执行的SQ代码的数据。

一旦数据在数据库中安全,请在out用户数据需要通过 http://php.net/manual/en/Function.htmlspecialchars.php” rel=“nofollow”htmlspecialchars进行。此前,它曾打过该网页,以防止注射文字。

基本上,在进入数据库的路上,just before /update le,你需要逃避可能的执行。在通往浏览器的道路上,just,在座标离开了您的浏览器之前,你必须避免可能受到迫害的Javagust和/或可解释的超文本。总结应当是你在寄出浏览器或数据库之前掌握数据的最后一件事。

Answer 2

这绝不是完整的答案。

在撰写任何新法典之前,你必须停止并认真考虑你想要完成什么。

换言之,你通过管理<条码>-mysql_real_einski_string功能而获得的是什么?

总的来说,你逃避客户提供的数据。这有助于防止 s。此外,你还应进一步证实客户所寄出的东西是可以接受的(例如“圣检”)。例如,如果你期待数字输入,则不接受插图和范围检查数值。如果你期望像一个名字那样提供扼杀数据,则不接受超文本,但为了核实长度,再次进行范围检查是可以接受的。这两种情况都发生在客户提交数据时,而不是在你书写数据时。

Going a little further, your cookies should be encrypted and marked with the httponly flag to tell the browser that it is not for use in client side script. Even with that, you shouldn t trust the data in the cookie at all; so go ahead and run your sanity checks and still escape those values in queries.

我高度建议你访问OWASP网站,并通过所有问题阅读,以便更好地了解袭击如何奏效以及如何防范攻击。网站在不真正了解正在发生什么的情况下,应用安全就太重要了。

BTW, kudos to 你了解这一情况,并试图保护你的网站。太多的发展中国家甚至根本不考虑安全。

Answer 3

如果你利用指定经营实体的延伸来建立清洁要求,你可以设立这样的职能(保障说明和界定其类型):

一种实例,即文字是文字说明,数字是:

public function InsertThis($number, $text) {
    $pdo = $this->getPdo();
    $sth = $pdo->prepare("INSERT INTO my_table (number, text) VALUES (:number, :text");
    $sth->bindParam( number ,$number,PDO::PARAM_INT);
    $sth->bindParam( text ,$text);
    $sth->execute();
}

rel=“nofollow” http://php.net/manual/en/book.pdo.php

Answer 4

You only need to use mysql_real_escape_string() when inserting/updating a row where the values have come from untrusted sources.

这包括:

$_GET
$_POST
$_COOKIE
Anything that comes from the browser
Etc..

只有在把事情输入数据库时,而不是当你去做事情时,你才应当使用这一工具,因为事情本来应该安全。

使用PDO。

Answer 5

不是“安全”的东西。它逃脱了可在>sql injection attacks 上使用的特性。因此,你应当逃脱的唯一价值观是用户提供的价值观。没有必要从你自己的数据库中逃脱。

友情链接