17/02/2004, 06:54
|
| O_O | | Fecha de Ingreso: enero-2002 Ubicación: Santiago - Chile
Mensajes: 34.417
Antigüedad: 22 años, 3 meses Puntos: 129 | |
| Las funcioens de Mysql própias desde PHP como mysql_scape_string() o las que tiene Postgresql pg_escape() (o similar) hace lo mismo que addslashes() en el caso de que magic_quote_gpc() estubiera a ON ..
Es más puedes "preguntar" por el estado de esa directiva para usar o no tu addslashes(). En lugar de la própia función para una determinada Base de datos si es que la dispone y así hacerte rutinas "genéricas" de tratamiento de cadenas externas (que llenguen desde un formulario, link, cookies ...) hacia las funciones que generen SQL para deteminado motor de BD).
En el último link que acabo de dejar .. en ese artículo se dán várias alternativas para evitar los problemas con el SQL injectión .. Com usar expresiones regulares para filtrar tu cadena .. o si usas identificadores numéricos para los típicos "ID" .. forzar el tipo de dato a numérico .. o chekear si es del tipo esperado tu variable para no continuar con el proceso .. etc.
Un saludo,
__________________
Por motivos personales ya no puedo estar con Uds. Fue grato haber compartido todos estos años. Igualmente los seguiré leyendo. |