Форум PHP

Достаточно такого кода для защиты?

<?php if(empty($_GET['id']) or isset($_GET['id'])) {         $id = $_GET['id'];         }         if(!preg_match("|^[\d]+$|", $id)) {         exit("<p>Не правильный формат запроса! Проверте URL!</p>");         } ?>

<? if(empty($_GET['id']) or isset($_GET['id'])) {  .... ?>

<? $id = ((isset($_GET['id'])) && ($_GET['id'] == (int)$_GET['id'])) ? (int)$_GET['id'] : null; if ($id === null) echo 'error'; ?>

[поправлено модератором]

тогда уж
if(!empty($_GET['id']) or isset($_GET['id'])) { ... }

if (!isset($_GET['id']) || !is_int($_GET['id'])) error();

bronenos, ну сколько можно?

Тих-тих-тих O:-)
Я не сразу увидел тему пососедству, где было про ИНТ, и не думал что ИНТ подведет (казалось бы, для таких ситуация как раз), приношу извинения)

Как думаете, достаточно ли передаваемые параметры проверять только на допустимые символы через регулярку?

Какие такие допустимые символы?
Логин, email, наверное, стоит проверить перед помещением в БД, id привести к int.... В пароле, например, нет недопустимых символов...

Посмотрите задачу 21 из соответствующего раздела..

> Я не сразу увидел тему пососедству
Я подобной темы тоже не видел. Просто я же Вам сравнительно недавно уже говорил про это.

Я лично всегда все переменные проверяю так:
Если число, то $var = intval($_GET['var']);
Если засунуть в MySQL, то $var = mysql_escape_string($_GET['var']);
Если вывести на экран, то $var = htmlspecialchars($_GET['var'], ENT_QUOTES);
Ну а остальное по потребностям...

А если кто-то захочет сделать sql-инъекцию, одного mysql_escape_string будет недостаточно, т.к. запрос может быть без кавычек. Не пойму я что-то....

Какой запрос? Все строки в запросах нужно помещать в кавычки, без этого и работать не будет. А что там от пользователя пришло - если оно экранировано, без разницы.
SELECT * FROM `table` WHERE text = '$text'.

Для защиты от sql-инъекции mysql_escape_string() достаточно (только надо проверить magic_quotes - если они включены, mysql_escape_string() уже применять не нужно. get_magic_quotes_gpc() ).

Ну, если переданные запросу данные - строковые, то с этим понятно!
А если Числовые данные? Их же не надо выделять кавычками. Получается, что можно сделать скл-инъекцию даже с mysql_escape_string()?
К примеру:

<?php mysql_query("SELECT * FROM table WHERE id = $id"); // если в $id вписать, к примеру, // 1; UPDATE table SET id = 666 WHERE id = 1 // то можно изменить любые числовые данные в БД ?>

Разъясните, пожалуйста!

Когда ожидается прием числовых данных, то:

$id = (int)$_GET['id'];

и уязвимости нет.

Аааа, всё понял! Спасибо за разъяснение :)

Я и числа в кавычки беру, все пашет у меня везде

а мне вот нравится работать с stmt в mysqli

$stmt = $mysqli->stmt_init(); $stmt->bind_param('ssi',$string_var_1, $string_var_2, $integer); $stmt->execute();

зачем на уровне PHP делать то, что можно переложить на БД, притом что она это умеет делать лучше?

а что вы думаете на счет функции ctype_digit()
можно ли на нее положиться?

<?  if(ctype_digit($_GET['id']))   echo 'ГУД!!!';  else   echo 'Не есть гуд!'; ?>

а какая разница что будет добавленно в where id
текст или цифра - это всеравно строковое значение...
или нет?
в любом случае там нужна будет кавычка для обрыва запроса и подстановки union...
или?

Просто возьмите за правило никогда не подсовывать в запрос то, что пришло с инета. пропустите через какую то промежуточную функццию, и все лишние хвосты отвалятся или вызовут ошибку.

Зачем мне в запросе строка, когда поле типа integer?

вам не нужно
а взломщику всеравно что у вас int или char
вроде)