Seguridad al validar usuario

[fedefrankk]

Hola a todos, gracias de antemano por su tiempo.
tengo el siguiente codigo:

Código PHP:

$user_mail= mysqli_real_escape_string($cone,$_POST["user_mail"]);
$user_pass= mysqli_real_escape_string($cone,$_POST["user_pass"]);
 
echo $user_mail;
 

pero si en usuario pongo "pep'e".. me lo muestra tal cual lo puse

ahora probé con :

Código PHP:

$regexp = '/^[a-z0-9]+$/i';
$entrada = 'user_mail';
 
$resultado = preg_match($regexp, $entrada);
if(!$resultado) {
  echo 'entrada incorrecta: ' . $entrada . PHP_EOL;
}
 
$entrada = 'user_mail';
$resultado = preg_match($regexp, $entrada);
if($resultado) {
  echo 'entrada correcta: ' . $entrada . PHP_EOL;
}
 

este si funciona, la pregunta es como implementarlo para los dos campos?
user_mail
user_pas




Gracias por sus tiempo
saludos cordiales

[petit89]

la haces funcion, no?

Código PHP:

function escapear($valor){
$regexp = '/^[a-z0-9]+$/i';
 
$resultado = preg_match($regexp, $valor);
if(!$resultado) {
  return 'entrada incorrecta: ' . $valor. PHP_EOL;
}
$resultado = preg_match($regexp, $valor);
if($resultado) {
  return 'entrada correcta: ' . $valor. PHP_EOL;
}
}
 

y la llamas donde la necesites de la siguiente manera:

Código PHP:

$variable1= "pep'e";
$variable2 = "pepe";
echo escapear($variable1)."<br/>";// en este caso imprimirá que es incorrecta
echo escapear($variable2);// en este caso imprimirá que es correcta
 

[Triby]

Creo que ninguna entrada pasará la validación de correo... se necesitan la @ y el punto. Además, no veo qué tienen que ver los caracteres permitidos con seguridad, es más bien una opción de formato.

En todo caso, hay que filtrar todas las entradas, de preferencia, con este aporte: http://www.forosdelweb.com/f18/funci...5/#post3497564

Edición: Agrego porque vi que realmente no es solo el correo lo que se va a "sanear", sino la también contraseña y, definitivamente, limitar el contenido a solo letras y números no es buena idea, en teoría, serían contraseñas fáciles de adivinar.