Prevenir SQL Injection

[sofway]

Buenas noches.

Es bastante conocido que es necesario utilizar mysql_real_scape_string() para hacer un correcto filtrado de caracteres a la hora de prevenir SQL Injection.

Por unos problemas que tuve anteriormente con formularios en los que se necesitaba utilizar comilla simple para especificar la unidad de pulgadas. agregué la función escape() de JavaScript cuando se enviaba el formulario lo cual me coniverte los caracteres con el URL Encode. Se que la validación en el cliente no me protege por lo cual tambien tengo que hacer validación en el servidor, pero la pregunta es que cunado hago el URL encode, los string quedan con los respectivos %20 y demas caracteres convertidos a url que finalmente los inserto en la base de datos. Es válido que en la base de datos me estén quedando los datos en URL encode??
Existe una mejor práctica??? que relación hay con las funciones htmlentities?
Cuando voy a imprimir los datos en la página utilizo la función de JavaScript unescape que funciona correctamente como lo necesito.

Mil gracias

[jerkan]

Mmm, es cierto que hacer el escape con javascript tiene poco sentido. No acabo de entender por qué tuviste que utilizarlo. Quizás, con un ejemplo, sería más fácil ayudarte.

Un saludo.

[centrion_75]

Yo en principio lo que utilizo para evitar eso, es primero javascript (pero como se puede desahbilitar) también utilizo funciones propias de php.

Aquí te dejo un enlace a un pdf, se titula PHP Seguro:

http://www.soulblack.com.ar/repo/papers/phpseguro.pdf

Espero que te sirva.

[sofway]

Iniciado por jerkan

Mmm, es cierto que hacer el escape con javascript tiene poco sentido. No acabo de entender por qué tuviste que utilizarlo. Quizás, con un ejemplo, sería más fácil ayudarte.

Un saludo.

Jerkan lo que pasa es que en un formulario se escriben datos que contienen comillas. Posteriormente tengo que mostrar el formulario con esos datos rellenándolo con JavaScript, ocasionando que las comillas de los datos me interrumpan las funciones javascript que imprimen. Es por esto que tengo que escapar con javascript

[jerkan]

Que te escriban cadenas con comillas no es ningún problema. Por otro lado, no entiendo por qué tienes que rellenar el formulario con Javascript.

Yo aplicaría la función htmlspecialchars a los campos del formulario (una vez realizado el post del formulario). Esto convertiría las comillas en sus equivalentes html de manera que se verán igual pero no afectaran a tu código.