XSS e Inyección SQL

[Krlinhos_]

Hola,

Para estos problemas de seguridad, utilice para las inyecciones SQL los filtros FILTER_VALIDATE y luego mysql_real_escape_string()
Y para obtener datos de la Base de Datos y evitar los XSS uso htmlentities().

Y tengo el siguiente problema, mi pagina esta codificada según la iso-8859-1 y la base de datos también, está puesta con codificación latin1-spanish.
Antes de extraer los datos mediante htmlentities() los obtenía bien, pero ahora no me muestra bien los caracteres con tilde, las ñ, etc, etc.

He probado a poner htmlentities($var,ENT_QUOTES, "ISO-8859-1") pero aun así, los muestra mal.

Alguien sabría darme alguna indicación? Gracias.

[yamatadvd2000]

mm, no sé, tambien tengo la duda de esto de la codificacion, en lo personal me he estandarizado a utf-8.

No sé, si sea htmlentities(), pero porque no pruebas htmlspecialchars() ?

[Krlinhos_]

Estuve leyendo y htmlspecialchars, es como htmlentities, pero con la traducción de menos caracteres. Nose... a ver si alguien nos puede decir.

En cuanto a la codificación con UTF-8, tendria problema con las tildes y las ñ??

[yamatadvd2000]

Tendrias problemas, si en tu base estubiecen tal cual ñ y no como ñ
En tal caso, tendrías que convertirlas primero a entidades html para que te las interpretara bien.

Igual podrias hacerlo en cada impresion.

[Krlinhos_]

Entonces tendría que para guardar datos en la base de datos, además de validar el campo, guardarlo haciendo uso de html_entities_decode()??

Código:

$dato = mysql_real_escape_string(html_entities_decode($valor));

[Tradock]

Hola,
Tengo una web en PHP y como ya veo esta vulnerable al ataque de Inyecciones SQL. Mi pregunta es, Como puedo incluir el código mysql_real_escape_string() y en donde? Yo no tengo ninguna experiencia en configuración de base de datos. Si alguien puede darme una mano se lo agradecería mucho. Aquí les dejo el URL del sitio http://axaldo.com/

Saludos,

Tradock

[Krlinhos_]

cuando tu incluyes una variable asi:

$consulta = "select * from tabla where id=\"". $variable."\"";

Pues $variable deberias ponerlo asi:

mysql_real_escape_string($variable)

Yo tambien estoy empezando pero creo que esto es lo más básico en proteccion, frente a Inyecciones SQL.

Si estoy equivocado, que alguien me corrija.

Saludos.