busco sugerencias

[mauro770]

hola que tal tengo una pregunta que es algo simple para quien conosca del tema.
tengo la siguiente fucion:

Código PHP:

  preg_replace("/[^a-zA-Z0-9\sñÑáéíóúÁÉÍÓÚ]/", "", $i);  
   

solo admito valores alfanumericos con acentos , esto es para prevenir la inyeccion SQL,
pero sinceramente me gustaria dejar al usuario ingresar caracteres tales como lo pueden ser ","(comas) "."(puntos) !,?,:,(,) entre otros mas...
y entonces hacer esto :

Código PHP:

  preg_replace("/[\']/", "", $i);  
   

para solo eliminar las comillas.
mi pregunta es que caracteres me recomiendan que prohiba para evitar una inyeccion sql ?

muchas gracias por su ayuda

[bioxido]

PHP ya tiene muchas funciones para evitar esto, entre ellas estan:

addslashes();

htmlentities(); // No es exactamente para esto, pero de algo sirve.

mysql_real_escape_string(); //Talvez la mas aconsejada.

[pateketrueke]

mas que prohibir, se deben evitar o hasta escapar dichos caracteres...

estos son los mas importantes: \';-

la manera mas sencilla es esta:

Código PHP:

  $foo = addcslashes($foo, "\\';-");  
   

usar otras funciones sin saber lo que hacen exactamente es como tratar de matar un oso con una resortera, tanto que luego hacen cosas que no sabias que hacían y no querías que hicieran... ;)

[bioxido]

mysql_real_escape_string(); no hace practicamente lo mismo, pero de forma mas automatizada?

mysql_real_escape_string() calls MySQL's library function mysql_real_escape_string, which prepends backslashes to the following characters: \x00, \n, \r, \, ', " and \x1a.

[abimaelrc]

@pateketrueke, ¿eso es una nueva función? addcslashes

[pateketrueke]

Iniciado por abimaelrc

@pateketrueke, ¿eso es una nueva función? addcslashes

no, para nada...

significa algo así como "add custom slashes" (según yo)
http://php.net/addcslashes

¡ahora yo te tome por sorpresa!! ;)

[bioxido]

Yo tenia la misma duda e investigué...

addcslashes();


Resulta que si es una funcion....

[pateketrueke]

Iniciado por bioxido

mysql_real_escape_string(); no hace practicamente lo mismo, pero de forma mas automatizada?

claro, tienes toda la razón... a excepción de que solo sirve con la extensión de MySQL, igualmente cada extensión RDBMS en PHP tiene sus propias funciones, pero usar addcslashes() es la forma mas "genérica" con la que me he topado... (:

[abimaelrc]

Pues siempre se aprende algo, y mira que la busque rapido antes y no vi nada por encima, pero siempre se aprende algo jajaja

Edito:
Si me tomaste por sorpresa.