Compactar un poco mas la seguridad

[Carlojas]

Saludos a todos nuevamente.

Estoy en la fase final de mi aplicación he trabajado con sesiones validación de usuarios y todo esto quisiera saber como hacer la seguridad aun mas eficiente como evitar la SQL Inyection?, Como Encriptar los datos y cosas por el estilo que ocurra esto cuando un usuario intente loguearse solo seguridad agradesco de antemano cualquier colaboración. Gracias

[GatorV]

Para evitar SQL Inyection, lo unico que tienes que hacer es escanear las variables de entrada, cualquier variable que te llegue por POST o GET tiene que ser limpiada y evaluada para evitar, es decir quitar todos los ', checar que no haya <> etc.

Lo de encryptar dejaselo a la base de datos, tu solo encargate de que el acceso a tal este seguro.

Saludos.

[Carlojas]

Disculpa mi ignorancia podrias poner un ejemplo de evitar SQL Inyection te lo agradesco

Gracias de antemano

[GPS]

Alguien ya tiene hecha alguna función o class que hago lo que dice GatorV???
Saludos

[AlvaroG]

Ejemplo de inyección SQL (ejemplo clásico)

Consulta usada con php:
"SELECT * FROM tabla WHERE campo=$_POST[variable]"

Valor ingresado en el campo "variable":
'1'; DROP TABLE 'tabla'

Resultado:
SELECT * FROM tabla WHERE campo='1'; DROP TABLE 'tabla'

Es decir, gentilmente se elimina la tabla.

Hay 2 soluciones simples, una es usar magic_quotes, que automáticamente filtra cualquier caracter "peligroso" (\, ', ", etc) agregándole una barra para escaparlo ( ' se transforma en \' ). El manual de PHP lo desaconseja, porque aumenta el procesamiento necesario y por tanto puede verse disminuido el rendimiento general.
La otra solución es la función addslashes(), que tiene la misma función pero funciona solamente sobre las variables especificadas.


Saludos.

[nicolaspar]

Es mejor usar las funciones propias para dicha tarea, como ser mysql_real_escape_string

Edit: En la misma pagina tenes muchos comentarios de los usuarios para sacar ideas.