Inyección SQL

[dezagus]

Estoy utilizando varias funciones para evitar inyección sql, entre ellas addslashes(), la cuestión es que me preocupa no filtrar palabras válidas para mysql, aunque ya controlando las comillas CREO que se evita ¿casi totalmente?.

Código PHP:

   
/////// Funciones > tags
function tags($tags){  
$tags = strip_tags($tags);  
$tags = stripslashes($tags);  
$tags = htmlentities($tags);  
$tags = addslashes($tags);
return trim($tags);  
} 
/////// 
   

¿Se puede vulnerar esto?

[mogurbon]

http://www.forosdelweb.com/f18/aport...ection-948577/

[webankenovi]

la funcion solo es para consultas no?? te has olvidado de mysql_real_escape_string o lo pasas despues??

[GatorV]

Usa mejor PDO y PreparedStatements en lugar de estar jugando a usar muchas funciones, no hay una función genérica que prevenga SQL Inyection ya que cada tipo de columna tiene un tipo de dato diferente.

Lo mejor es usar Prepared Statements ya que esos sí te previenen de SQL Inyection.

Saludos.

[mogurbon]

Iniciado por GatorV

Usa mejor PDO y PreparedStatements en lugar de estar jugando a usar muchas funciones, no hay una función genérica que prevenga SQL Inyection ya que cada tipo de columna tiene un tipo de dato diferente.

Lo mejor es usar Prepared Statements ya que esos sí te previenen de SQL Inyection.

Saludos.

osea tu aporte también ya afelpo?

[miSko]

una guia para pasar de mysql a PDO ???

[GatorV]

No es que haya felpado, la función es específicamente para XSS, no para SQL Inyection, son dos cosas diferentes (por cierto le cambié el título).

Usar PDO es diferente a MySQL, tu mejor guía es el manual, donde puedes leer y estudiar como usar los prepared statements.

Saludos.

[mogurbon]

no ma we pos no avisas y yo aqui recomendandola jajajaja , no me parece opción que lo viejo se le cambie , mejor empezar a hacer cosas nuevas con pdo

[GatorV]

Esta bien que la recomiendes, pero su uso es diferente, es para XSS, no es para SQL Inyection.

[mogurbon]

ojo en aportes se sigue viendo de esta forma

[Aporte] Funcion para evitar XSS y Sql injection

aunque ya dentro se vea de esta manera

[Aporte] Funcion para evitar XSS

[GatorV]

Listo cambiado

[mogurbon]

vientos

[dezagus]

Iniciado por mogurbon

http://www.forosdelweb.com/f18/aport...ection-948577/

Tu script es genial, pero es para XSS.

[dezagus]

Iniciado por GatorV

Usa mejor PDO y PreparedStatements en lugar de estar jugando a usar muchas funciones, no hay una función genérica que prevenga SQL Inyection ya que cada tipo de columna tiene un tipo de dato diferente.

Lo mejor es usar Prepared Statements ya que esos sí te previenen de SQL Inyection.

Saludos.

No conocia Prepared Statements.

Estoy leyendo esto: http://itfreekzone.blogspot.com.ar/2...-prepared.html

Termino de leer y te cuento :) gracias!