Quien me explica este filtro para que sirve?

[yooom]

Quien me explica este filtro para que sirve?

Código PHP:

   
function filtro($input){
$referer = htmlspecialchars($_SERVER['HTTP_REFERER']);
$filtro = array("`", "´", '"', "<", ">", ";", "'", "%60", "%C2%B4", "%22", "%3E", "%3C","%27", "%25", "%");
for ($i=0; $i < count($filtro) ; $i++) {
 if(eregi($filtro[$i],$input)) {
echo "<center>Error.<br /><br />
<a href=\"$referer\">Buelva a intentarlo por favor</a>.</center>\n";
  exit(1);
 }
}
return mysql_escape_string(htmlspecialchars($input, ENT_QUOTES));
}
 
 
http://foro.elhacker.net/php/update_mysql_en_php-t191147.0.html#ixzz1ELTMhxqU 
   

[Death_Empire]

busca que no hayan caracteres prohibidos en $input

PD: eregi esta obsoleta

[Hidek1]

para buscar caracteres..

pero no te recomiendo su uso... se ve que es antiguo.,..
y por lo personal no confiaría en alguien que escribe Buelva a intentarlo


saludos.

[Ronruby]

Iniciado por Hidek1

para buscar caracteres..

pero no te recomiendo su uso... se ve que es antiguo.,..
y por lo personal no confiaría en alguien que escribe Buelva a intentarlo


saludos.

Bamos ombre, no es problema =P </joke>

[DeeR]

Iniciado por Hidek1

para buscar caracteres..

pero no te recomiendo su uso... se ve que es antiguo.,..
y por lo personal no confiaría en alguien que escribe Buelva a intentarlo


saludos.

Apoyo a la noción

yooom es importante "sanitizar" las distintas entradas a una consulta, si no, el usuario puede modificar dichas consultas.

El principio básico es escarpar el caracter ', ahora hay algunos motores como mysql, postgresql,etc. que debes escarpar una ' con \, pero otro motores como sql server o firebird que debes escarpar una comilla con otro comilla, a si que es buen punto a analizar.


Tambien es posible que tengas activados maqic quotes, esté módulo escarpa todas las entradas (GET, POST, lecturas de archivos , etc ...) aun que ahora (o pronto) va a estar "deprecated", lo mejor es siempre realizar el escarpado de carácteres.

Saludos.

[yooom]

ahh ya lo entendi , pero para usar eso ¿no es mejor usar mysql_real_scape_string?-

-Parece un proceso muy largo.