Пользовательский ввод в базу данных

Question

Предположим, что мы ожидаем только строки или цифры с данными, отправленными пользователем. Достаточно ли безопасно проверять данные с помощью функций ereg и preg_match? Есть ли способ подделать их? Должны ли мы использовать mysql_real_escape_string?

Answer 1

достаточно безопасно относительно ваших собственных потребностей. Если вы по какой-то причине хотите избежать mysql_real_escape_string, я сначала хочу спросить, почему.

Мой ответ: конечно ... в зависимости от условий

вы можете PREG матч против [0-9a-г] и нечего бояться. Попробуйте передать многобайтовый символ, чтобы быть в безопасности. Пока ваше условие не позволяет вам ничего делать, если совпадение не соответствует вашим требованиям, тогда нет сложной работы, о которой я знаю, чтобы проскальзывать злонамеренными персонажами на таком строгом правиле.

но термин «строка» очень открыт. включает ли пунктуацию? какой вид и т. д. Если вы разрешаете стандартные символы ввода как то, что вы называете «String», тогда мой ответ больше не является уверенным.

Но я все же рекомендую mysql_real_escape_string() для всех представленных пользователем сведений, независимо от того, как вы пытаетесь очистить его перед рукой.

Answer 2

Это будет короткий ответ ...

Использование PDO:

• Docs: http://php.net/manual/en/book.pdo.php

Например Zend famework использует этот двигатель.

Answer 3

Если вы используете регулярное выражение для соответствия действующему вводу, и оно завершается успешно, то вход пользователя действителен. При этом, если у вас нет вредоносных символов в действительном вводе (в частности, кавычки или потенциально многобайтовые символы), вам не нужно звонить mysql_real_escape_string. Тот же принцип применим и к чему-то вроде:

$user_in_num = intval($_POST['in_num']); // Don't need mysql_real_escape_string here 

Так что-то вроде следующего:

$subject = $_POST['string_input']; 
if(!preg_match('/[^a-z0-9]/i', $subject)) 
{ 
    exit('Invalid input'); 
} 

Это нормально/безопасно использовать $subject в запросе SQL, как только preg_match успешно.