domande su mysql_real_escape_string

Question

Sto sviluppando il mio sito web personale usando php. tutto è ok ma ho appena letto mysql_real_escape_string manuale in php.net e ha trovato due cose:

1. Questa funzione deve sempre (con poche eccezioni) essere utilizzato per rendere i dati di sicurezza prima di inviare una query a MySQL.
2. mysql_real_escape_string() non sfugge% e _. Questi sono caratteri jolly in MySQL se combinati con LIKE, GRANT o REVOKE.

Ho due domande:
1-che cosa sono queste eccezioni?
2- come sfuggire a quei personaggi?

Answer 1

Questa funzione deve sempre essere utilizzata (con poche eccezioni) per rendere sicuri i dati prima di inviare una query a MySQL.

Con mia grande delusione, la pagina di manuale dice completa spazzatura e they refuse to make it correct.
Quindi, al contrario, ci sono solo pochi casi in cui è necessaria questa funzione. Quindi per dire SOLO UNO: quando si aggiunge una stringa nella query SQL.

mysql_real_escape_string() non sfugge a% e _. Questi sono caratteri jolly in MySQL se combinati con LIKE, GRANT o REVOKE.

Non importa troppo. Finché si utilizza apposta l'operatore LIKE, questi personaggi non arrecheranno alcun danno.

Ma se si vuole sfuggire la stringa andando come dichiarazione, è possibile utilizzare questo codice

$like = addCslashes($like,'\%_'); 

(notare la barra -. Ma è anche necessario per essere sfuggito come manuale affermando che notare anche la C lettera nel nome della funzione).
Dopo questa procedura, è possibile utilizzare la risultante variabile $like in qualsiasi modo si utilizzi per creare le query, sia citandole che sfuggendole o utilizzandole nell'istruzione preparata.

Answer 2

Non sono sicuro delle eccezioni a cui fa riferimento il manuale quando si parla di protezione dei dati. Si potrebbe dire che l'eccezione è quando i dati sono già noti per essere sicuri. Ad esempio, qui ci sono alcuni casi che vengono in mente:

• i dati è tipizzata come un numero (questo è davvero una specializzazione della voce successiva)
• sai già che non contiene caratteri che ha bisogno di essere sfuggito (ad esempio, si tratta di guardare qualcosa in un array di "whitelist", che contiene alcune opzioni che si hardcoded)

per esempio, se avete $id = intval($_GET['id']) allora non c'è bisogno di fuggire $id prima di iniettarlo in una query.

Tuttavia! Non può mai farti male sfuggire a tutto l'input e così facendo si elimina la possibilità che si introducano vulnerabilità nel codice (ad esempio se si dimentica di scappare, se i requisiti cambiano, o qualcosa di veramente). Quindi consiglio di prendere l'abitudine di scappare da tutto e di dimenticare le "eccezioni".

Per quanto riguarda le % e _ personaggi come parte dell'input, questi non hanno bisogno di essere sfuggito a meno che non si sta andando ad alimentare questo ingresso per un comando che li riconosce. Così, per esempio, se si dispone di una query come questa:

$term = $_GET['term']; 
$sql = sprintf("SELECT FROM table WHERE column LIKE '%%s%'", 
       mysql_real_escape_string($term)); 

In questo caso, se l'utente digita una % come parte di $term è ragionevole supporre che vogliono cercare in realtà per un letterale %. Pertanto in questi casi è necessario evitare % sostituendolo con \% (\ è il carattere di escape predefinito). str_replace o strtr sono due buone opzioni per questo.

Answer 3

È possibile write your own function;) Vedere this thread per ulteriori informazioni.

Altrimenti è possibile utilizzare PDO library o qualsiasi altra libreria di questo tipo.