Consulta sobre codigo

[kaninox]

Viendo Smf encontre este código :

Código php:

<?php
function addslashes__recursive($var){
if (!is_array($var))
return addslashes($var);
$new_var = array();
foreach ($var as $k => $v)$new_var[addslashes($k)]=addslashes__recursive($v);
return $new_var;
}
$_POST=addslashes__recursive($_POST);
$_GET=addslashes__recursive($_GET);
$_REQUEST=addslashes__recursive($_REQUEST);
$_SERVER=addslashes__recursive($_SERVER);
$_COOKIE=addslashes__recursive($_COOKIE);
?>
 

se supone hasta donde me he informado que evita ataques e inyecciones sql....
y mi pregunta es que ventajas tiene, si lo uno a mi código de control de datos para ingresar usuarios por ejemplo....

Código php:

<?php
## Conectamos a base de datos
##+------------------------------------------------------------------------->
include ("conectar.php");
 
## Agregamos la función para limpiar cadenas de caracteres 
## especiales
##+------------------------------------------------------------------------->
function limpiaCadena ($cadena)
{
if (get_magic_quotes_gpc())
$cadena = stripslashes($cadena);
return mysql_real_escape_string($cadena);
}
 
## Aplicamos la Función al usuario y contraseña
##+------------------------------------------------------------------------->
$user_ingreso = limpiaCadena(htmlentities($_POST[usuario]));
$contrasena_cad = limpiaCadena($_POST[contrasena]);
 
## Encriptamos la contraseña con SHA1
##+------------------------------------------------------------------------->
$contrasena_encriptada = sha1($contrasena_cad);
 
## Comprobamos si el usuario Existe, comprobando usuario
## passwords encriptados y si usuario esta activado con (flag)
##+------------------------------------------------------------------------->
 
$busca_usuario=mysql_query("SELECT * FROM usuarios"
." WHERE USER = '$user_ingreso'"
." AND PASSWORD = '$contrasena_encriptada' "
." AND FLAG = '1'");
 
## Si al comparar parametros los datos son correctos  
## es decir consulta == 1, Procedemos......
##+------------------------------------------------------------------------->
 
if(mysql_num_rows($busca_usuario)==1) // Los datos son validos
{
## Creamos la Sesion y sus variables  
## Definimos la sesión para aplicarle seguridad a nuestras 
## paginas internas...
##+------------------------------------------------------------------------->
session_start();
$_SESSION['pass_usuario'] = "$user_ingreso";
$_SESSION["error_user"]= "SI";
 
## Redireccionamos a nuestra aplicación...
##+------------------------------------------------------------------------->   
header ("Location: carpeta_aplicacion/index.php");
}
## Ver caso de Acceso Inválido 
##+------------------------------------------------------------------------->
else
{
## En caso de NO ser correctos los datos, obtenemos la fecha
## y el ip del cliente, y la guardamos en una tabla
## para controlar el flood de intentos de ingreso a gusto....
##+------------------------------------------------------------------------->
$ip = $_SERVER[REMOTE_ADDR];
$fecha = date("Y-m-d");
 
mysql_query ("INSERT INTO flood_login"
                     ." (ip, fecha)"
                     ." Values"
                     ." ('$ip', '$fecha')") or die ("Error ".mysql_error());
 
 
## y redireccionamos a nuestra pantalla inicial mostrando error
## de datos incorrectos....
##+------------------------------------------------------------------------->
header("Location: index.php?erroringreso=si");
 
## Tambien se puede redireccionar el flag con el usuario 
## en base64, para ver si el usuario esta desactivado e informar
##$envia = base64_encode($_POST[usuario]);              
##header("Location: index.php?erroringreso=si&flag=$envia");
##+------------------------------------------------------------------------->
}
?>
 

sorry por tanto código pero quise dejar un código de acceso que me ha llevado tiempo en crear y se los dejo documentado, para fines didácticos, y ver si lo podemos afinar con cositas como estas.....

ojo : este es solo codigo de control de usuarios para ingresos al sistema y demas es necesario ver el tema de sesiones y seguridad de estas con session_start(); por ejemplo......

saludos .....

[Triby]

Pregunto: que crees que sea mas efectivo para escapar caracteres que se van a ingresar a base de datos MySQL?

a) addslashes()
b) mysql_real_escape_string()
c) a + b

Despues de responder selecciona el siguiente texto para poder leerlo:

Lo del addslashes te lo explique ya en el otro tema, si tienes habilitadas las comillas magicas se ejecuta automaticamente; si pasas tus variables por addslashes y mysql_real_escape_string se van a escapar doblemente, pero tal vez no lo entiendas hasta que lo pruebes.

No preguntes, lo viste en un foro y puede que sea algo correcto, prueba usando una, luego la otra, luego ambas y nos cuentas los resultados.

[emiliodeg]

bueno la funcion de arriba hace una limpiesa clasica la cual no quiere decir q sea la ideal

es tambien uan cuesiton de gustos y necesidades del sistema

por ejemplo yo prefiero utilizar mysql_real_escape_string() antes de addslashes(), guardar o limpiar las cadenas de todo html no valido con strip_tags y quitar atritubos indeseados, y a todo el resto pasarle un htmlspecialchars o en su defecto htmlentities() para terminar de limpiarlo haciendo esto ya quedan muy pocas cosas por las q te puedan complicar la existencia

slaudos

[Tx]

Hola kaninox,
sinceramente me parece muchisimo mejor tu funcion "limpiar_cadena", que la recursiva del ejemplo, cortita y al pie.

Primero, en tu funcion, preguntas si magic_quotes_gpc esta activada, para recien actuar en consecuencia; la recursiva, escapa caracteres escapados incluso, valga la redundancia, no hace ningun checkeo de la configuracion de PHP.
Ademas, escapa incluso las claves de los arreglos, cosa que serviria en algun caso en particular, pero para lo que se planteo la verdad no le veo.

Por otro lado, no es recomendable el uso de funciones recursivas tan generales, si cada envio por POST o GET estarias llamando a una funcion recursiva, seria un gasto innecesario comparado con su ventaja.

En definitiva, apostaria a seguir con la tuya y mejorarla en lo que vayas viendo que necesitas.

Saludos!

[kaninox]

muchas gracias tenia una duda y creo que me aclararon del todo :D
triby probe y claro, me quedo con mysql_real_escape_string(); ya entendí

gracias saludos