Seguridad PHP

[jonatanc]

Estimados Colegas: en estos tiempos estoy desarollando una aplicación web para un cliente y tengo el siguiente dilema , evitar todo tipo de ataque RFI , XSS , y por sobre todo SQL INJECTION.
En mi tiempo libre elabore este codigo , que creo me filtra todo posible intento de ataque.

Código PHP:

   public function CleanVar($var) 
    { 
        if (!isset($var)) { 
            $var=htmlentities(htmlspecialchars(trim(addslashes($var)))); 
            $bad_words=array("UNION","LEFT","JOIN","=","='","?","==","=","==="); 
            $var=str_replace($bad_words,"",$var); 
            return $var; 
        } 
    }  
   

para ustedes este codigo es funcional a lo que yo necesito o tengo alguna posible backdoor por donde me puedan evitar el filtro y perjudicar mi aplicación con algun ataque?.

Desde ya gracias.!

[Triby]

Tienes un error en el if donde solo aplicaria las modificaciones a una variable cuando esta no exista, recuerda que el ! es equivalente a NOT.

Practicamente puedes permitir cualquier palabra y signo, aun <? con casi nulo riesgo de SQL INJECTION, siempre y cuando apliques a todas las variables de texto mysql_real_escape_string(), ademas de htmlentities y htmlspecialchars.

Siempre verifica que la longitud de las cadenas este en un limite adecuado para guardarlo en la base de datos.