Como se utilizaria esto?

[JessicaTJ]

Hola chicos, encontre este pekenio pedazito de codigo:

Código PHP:

    //This stops SQL Injection in POST vars 
foreach ($_POST as $key => $value) {   $_POST[$key] = mysql_real_escape_string($value); } 
 
  //This stops SQL Injection in GET vars 
foreach ($_GET as $key => $value) {   $_GET[$key] = mysql_real_escape_string($value); }  
   

Se supone que evita que se hagan inyecciones de SQL en querys MySQL, la pregunta del millon es, como se utiliza?

[GatorV]

Pues lo único que hace es escapar todas las variables que vengan por POST o por GET, no es tanto que eviten el Inyection.

Lo debes de poner me supongo al inicio de tu script.

Saludos.

[Hidek1]

solo lo pones en el codigo deberia funcionar solo :B

ponelo antes de las consultas si

[JessicaTJ]

Se podra colocar en el archivo de conexion a la BDD? Si es asi, seria antes o despues de la conexion?

Iniciado por GatorV

Pues lo único que hace es escapar todas las variables que vengan por POST o por GET, no es tanto que eviten el Inyection.

Entonces si no las evita, no serviria ponerlo de nada? O cual seria un metodo efectivo para escapar las variables y evitar la inyeccion SQL?

Gracias chicos

[Hidek1]

reemplaza comillas por otra cosa son str_replace xD... asi ya dificil que agan algo ^^

[JessicaTJ]

Iniciado por Hidek1

reemplaza comillas por otra cosa son str_replace xD... asi ya dificil que agan algo ^^

Y eso como lo logro Hideki?

Entonces siempre no serviria de nada el script ke koloke?

[GatorV]

Pues sirve, y ayuda pero para que escapar todas las variables que vienen, eso es lo que digo, sirve como una protección pero realmente lo correcto sería hacerlo sobre las variables que vayas a enviar a la base de datos.

[Hidek1]

osea sirve pero en realidad la seguridad va mas por la forma en que agas las cosas .. los pasos que realizas etc mas que en un codigo que impida el 100% de los ataques ya que eso no existe ...

saludos

[David]

Es que para evitar la inyección, no necesitas filtrar todas las variables que vengan por $_POST y $_GET. Sólo tienes que filtrar los datos que vayas a usar en las consultas (además, si es de tipo numérico en lugar de usar mysql_real_escape_string debes hacer un cast a número)

[JessicaTJ]

Entendido, mil gracias por su ayuda chicos