2 Funciones Anti SQL Injection - Cual es mejor para uds. ?

[aldo1982]

hoal gente, buscando encontre estas dos funciones para trabajar variables y mediante las cuales no se pueda hacer sql injection (tanto para post como para get)

aca dejo cada funcion y me gustaria que opinen respecto a cual es la mejro para Uds.


Funcion Nro 1 [posteada por Znet]

Código PHP:

  function clean_bad_chars($char)
{
$ban=0;//Bandera para saber si estan ejecutando una Inyeccion SQL
$char_w_replaced = stripslashes($char);//Guardamos la Inyeccion original para informacion a la BD
//Array con las palabras reservadas, para modificar a gusto :D
$hack_array = array("'", '"', ";", "UNION", "union", "DROP", "drop", "table", "TABLE", "SET", "set", "UPDATE", "update", "SELECT", "select", "-", "--", "MEMB_INFO", "memb_info", "memb__pwd", "memb___id"); //Caracter por el que será reemplazada cada palabra reservada del sitio
$hack_replace = ""; //Separamos la cadena en un Array para poder hacer la comparacion y determinar si estan
//ejecutando o no una Inyeccion SQL
$char1=explode(" ",$char);
for($i=0;$i<count($char1);$i++)
{
 if(in_array($char1[$i],$hack_array))//si se quiere se puede convertir todo a mayusculas para la comprobacion.
 {
  $ban=1;
 } 
}
 if ($ban==1)
 {
  $add="ESTAS HACKEANDO SI SI"; 
  //guardar informacion en base de datos sobre el intento de hacking como IP, etc...
 }
 else 
 {
  $add="NO ESTAS HACKEANDO"; 
  //seguir con los procesos del POST o GET sin guardar ips ni nada
 }  
//reemplazamos las palabras reservadas
$char_replaced = str_replace($hack_array, $hack_replace, $char);
//evitamos codigos html y espacios en blanco
$char_clean=htmlentities(trim($char_replaced)); //retornamos la cadena limpia para usar en nuestra consulta, o podemos devolver segun el resultado de ban
//un die para no ejecutar nada o como se les ocurra
 return $char_clean.$add;
} 
   

Funcion Nro 2 [Posteada por farra]

Código PHP:

  if (!function_exists("GetSQLValueString")) {
function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") 
{
  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;
 
  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);
 
  switch ($theType) {
    case "text":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;    
    case "long":
    case "int":
      $theValue = ($theValue != "") ? intval($theValue) : "NULL";
      break;
    case "double":
      $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL";
      break;
    case "date":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;
    case "defined":
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;
      break;
  }
  return $theValue;
}
} 
   

uso de funcion 2

Código PHP:

  $variable=GetSQLValueString($_GET['Id'],"int"); 
   

Salu2 y espero sirva esta discucion.

[David]

En la mayoría de los casos (si hablamos de MySQL), basta con mysql_real_escape_string() si es un campo texto, y convertir a entero si es un valor numérico (que según parece, es lo que hace la segunda función).

[aldo1982]

Iniciado por David el Grande

En la mayoría de los casos (si hablamos de MySQL), basta con mysql_real_escape_string() si es un campo texto, y convertir a entero si es un valor numérico.

en el caso de que tengo la url de mi web index.php?menu=5

como lo harias ? porque no se como pero me borraron todo :S

[f0n]

$id = (int)$_GET['id']

si no me equivoco eso haría el casting a entero de la variable id

[David]

Usa intval() al dato antes de ingresarlo en la consulta SQL.
http://www.php.net/intval

[aldo1982]

Iniciado por David el Grande

Usa intval() al dato antes de ingresarlo en la consulta SQL.
http://www.php.net/intval

gracias, ahi use el is_numeric($_get[menu])