Liczba postów: 35
Liczba wątków: 17
Dołączył: 22-09-2012
Reputacja:
0
Jestem na etapie ukończenia strony, jednak obawiam się, że nie jest ona bezpieczna i łatwo ją shackować. Jeżeli ktoś miałby jakiś tutorial na ten temat, to bardzo proszę o linka. Głównie chodzi mi o zabezpieczanie paska przeglądarki przed wpisywaniem w nią zapytań SQL.
Mam też problem a właściwie dylemat z polami formularza typu input i textarea. Czy jeżeli ktoś w nie wpisze znaczniki html lub co gorsza zapytanie SQL, to czy one zostaną zinterpretowane jako zwykłe łańcuchy znaków?
Jest też taki problem, że po wpisaniu apostrofu do takiego pola i wysłaniu do bazy sql nie interpretuje tego jako część stringa tylko jego koniec, jak się przed tym uchronić?
Może jest jakiś artykuł o problemach z formularzami, bo pewnie jeszcze coś przeoczyłem?
Liczba postów: 5
Liczba wątków: 0
Dołączył: 22-10-2012
Reputacja:
0
htmlspecialchars() - XSS
addslashes() - SQLI
mysql_real_escape_string() - SQLI
Liczba postów: 393
Liczba wątków: 0
Dołączył: 04-06-2010
Reputacja:
15
jest jeszcze kilka sposobów np:
- intval()
- wyrażenia regularne preg_match
- od 5.2 mamy do dyspozycji filter_var
Liczba postów: 252
Liczba wątków: 10
Dołączył: 06-02-2012
Reputacja:
14
26-10-2012, 18:27
(Ten post był ostatnio modyfikowany: 26-10-2012, 18:36 przez camelrafal.)
is_string
is_int
no i podstawa to isset w połączeniu z !empty ale to już chyba bedziesz miał w kodzie
jeszcze zainteresuj się tokenami w formularzach oraz szyfruj ciasteczka jeżeli masz w nich coś ważnego
możesz też pomyśleć o zabezpieczeniu przed floodowaniem ale raczej w mało popularnych stronach te zabiegi nie są konieczne
dodatkowo zawsze korzystaj z POST nigdy z GET w formularzach co jest chyba oczywiste
nie daje to żadnego zabezpieczenia ale zawsze jest jakimś utrudnieniem
Liczba postów: 252
Liczba wątków: 10
Dołączył: 06-02-2012
Reputacja:
14
no to wysyłaj formularze getem i po sprawie
Liczba postów: 252
Liczba wątków: 10
Dołączył: 06-02-2012
Reputacja:
14
27-10-2012, 18:38
(Ten post był ostatnio modyfikowany: 27-10-2012, 18:52 przez camelrafal.)
ale jeżeli chodzi o bezpieczeństwo to lepiej używać POST nawiązując do tematu
łatwiej jest podesłać komuś linka www.jakasstrona.pl/?skasuj=komentarz niż zrobić to samo w formularzu z postem
oczywiście get jest uzasadniony w przypadkach np wyszukiwania czy innych w których w linku podaje sie parametry tak aby można było przekazać link komuś dalej ale jezeli chodzi np o komentarze czy jakies wiadomosci ze strony to oczywiscie post jest to banał i nie ma sie co czepiać
http://pl.wikipedia.org/wiki/Cross-site_request_forgery ->Twórcy stron->prowizoryczne ZABEZPIECZENIE
