Удивительный колхоз

Последняя активность
Файлы топика
Какой дизайн использовать?
Собственный (9)
47%
Стандартный (див'ы от JohnCMS) (10)
53%
Всего голосов: 19
6.57K
.
MARAZM
17 апр 2016 г., 12:42
КИДАЛА!!! Дел не иметь!
# fanatos (17.04.2016 / 12:19)
18 SQL-Inj там нашел вчера
сервисы фигня полная.вручную
.
MARAZM
17 апр 2016 г., 12:43
КИДАЛА!!! Дел не иметь!
# desay (17.04.2016 / 12:21)
MARAZM, А смотрел чем дале переменная фильтруется? Там есть функция my_esc.
и? для полной фильтрации нужно что то вроде джоновского checkin'a. mysql_real_escape_string нихрена не достаточно
.
desay
17 апр 2016 г., 13:08
# MARAZM (17.04.2016 / 12:43)
и? для полной фильтрации нужно что то вроде джоновского checkin'a. mysql_real_escape_string нихрена не достаточно
такой фильтрации будет достаточно?

function my_esc($str)
{
if (function_exists('iconv'))
{
$str = iconv("UTF-8", "UTF-8", $str);
}
// Фильтруем невидимые символы
$str = preg_replace('/[^\P{C}\n]+/u', '', $str);
$str = mysql_real_escape_string(trim($str));
return $str;
}
.
ДоХтор
17 апр 2016 г., 14:46
# desay (17.04.2016 / 13:08)
такой фильтрации будет достаточно?
Нет, ещё надо что-то делать с html-тегами. Твоя функция их не отфильтровывает, и вот такой вызов 
$str = '<b>Текст</b>';
echo my_esc($str);
Вернёт текст жирным шрифтом
.
desay
17 апр 2016 г., 14:58
# ДоХтор (17.04.2016 / 14:46)
Нет, ещё надо что-то делать с html-тегами. Твоя функция их не отфильтровывает, и вот такой вызов
$str = '<b>Текст</b>';
echo my_esc($str); Вернёт текст жирным шрифтом
В базу он так и должен записаться.
на выходе текст тоже фильтруется hsc 

$str = '<b>Текст</b>';
echo hsc ($str);
.
ДоХтор
17 апр 2016 г., 15:09
desay [ON] [#] [о] [ц] (Сегодня, 14:58)
В базу он так и должен записаться.
Это вопрос спорный: кому-то удобно хранить в базе данные в исходном виде, а кто-то их фильтрует при приёме. Логичнее наверное было бы фильтровать при приёме один раз, и выводить сколько угодно раз, не беспокоясь о фильтрации, чем не фильтровать при приёме, но фильтровать при каждом выводе в браузер.
.
Zidan_@777@
17 апр 2016 г., 18:01
ДоХтор, вот вот, полностью с тобой соглашусь. Сам всегда фильтрую только на входе, ибо удобней, да и так не проследишь ничего.
.
desay
17 апр 2016 г., 18:19
Напишите пример хорошей фильтрации входящих даных,что бы на выходе ничего не фильтровать.
.
fanatos
17 апр 2016 г., 18:21
Менделеев
# desay (17.04.2016 / 18:19)
Напишите пример хорошей фильтрации входящих даных,что бы на выходе ничего не фильтровать.
Ты замени my_esc на джоновский functions::checkout
.
ДоХтор
17 апр 2016 г., 18:26
# desay (17.04.2016 / 18:19)
Напишите пример хорошей фильтрации входящих даных,что бы на выходе ничего не фильтровать.
Конкретный фильтр надо писать под конкретный код. Вот почитай, думаю, материал окажется полезным
Всего: 136
© 2024, JohnCMS