Форум PHP

Существует ли функция, пропустив через которую переменные можно защититься от:
XSS атак
SQL иньекций
"лишних символов" - имеются ввиду символы типа "<php" и т.д.
Спасибо

XSS

<?php $var = htmlspecialchars($var,ENT_QOUTES); ?>

MySQL:

<?php $var = mysql_escape_string($var); ?>

В случае SQL-инъекции нужно также обратить внимание на тип параметра, если это число, то лучше воспользоваться преобразованием

<?php   $number = intval($number); ?>

Если это строка, то тогда следует обработать её следующим образом

<?php   if (!get_magic_quotes_gpc())   {     $text = mysql_escape_string($text);   } ?>

Еще следует в строке проверять наличие недопустимых символов. т.е. удалять все кроме допустимых!
регулярным выражением или другими строковыми функциями.
В запросе лучше ставить кавычки перед параметрами, например:

SELECT * FROM table WHERE field1='name' AND field2='5'

$var = htmlspecialchars($var,ENT_QUOTES);

О! Ищеццо еще один универсальный рецепт? Ну-ну...

Что ты имеешь ввиду? Хош сказать такого не бывает?

Разумеется не бывает. Данные обрабатываются определенным образом в зависимости от того, что с ними дальше планируется делать.

> "лишних символов" - имеются ввиду символы типа "<php" и т.д.
И в чем это символы "<", "p" и "h" провинились, а? :angry: