¿Magic quotes o addslashes?

[urameshix]

Hola amigos!

Estoy tratando de estudiar mas sobre seguridad de sql injection y me viene a la mente la siguiente pregunta. Qué conviene más, ¿Magic quotes o addslashes?

Según tengo entendido es lo mismo, solo que magic quotes lo hace automatico cada variable que viene por get o por post, mientras que addslashes tienes que ponerlo manualmente. Yo hasta ahora uso magic quotes.

Aparte de escapar las comillas con estas funciones, hay alguna otra cosa que deba aplicar para proteger mis aplicaciones contra SQL injection?

Un saludo amigos!

[Heli0s]

Cada variable que recibas del exterior, ya sea GET, POST, COOKIE ( incluso SESSION si el valor de dicha variable puede ser manipulada por el usuario) debe ser procesada, la practica más general es addslashes y htmlentities (para evitar xss injection), aunque claro para eso hay que comprobar si el servidor aplica automáticamente las barras con magic_quotes.

Despues cada variable puede/debe contener ciertos elementos, si una variable solo debería tener números deberías comprobarlo, si debe tener X longitud deberías comprobarlo, si no debe tener X caracteres deberías comprobarlo, ninguna comprobación está de más.

Un saludo