preg_match

[Jennifert]

Hola a todos quisiera saber si hago lo correcto, quiero esa funcion para validar que no se ingrese codigo SQL.

Código PHP:

  <?php 
$x="wer dfgg"; 
function detect($c) { 
          if(preg_match('/\s/', $c)){ 
              return false;} 
          elseif(preg_match('/[\'"]/', $c)){ 
              return false;} 
          elseif(preg_match('/[\/\\\\]/', $c)){ 
              return false;} 
          elseif(preg_match('/(and|or|null|not)/i', $c)){ 
              return false;} 
          elseif(preg_match('/(union|select|from|where)/i', $c)){ 
              return false;} 
          elseif(preg_match('/(group|order|having|limit)/i', $c)){ 
              return false;} 
          elseif(preg_match('/(into|file|case)/i', $c)){ 
              return false;} 
          elseif(preg_match('/(--|#|\/\*)/', $c)){ 
              return false;} 
          elseif(preg_match('/(=|&|\|)/', $c)){ 
              return false;} 
          else{ 
              return true;} 
     } 
      
      
     if(detect($x) == false){echo "Algo anda mal";} 
     else{ echo "Todo bien";}               
 
?>   

[pateketrueke]

¿Y cómo para qué?

Te digo como pienso yo:

El usuario no debería verse limitado a no escribir ciertas cosas, simplemente porque el programador cree que es por "seguridad", imagina que yo escribo:

"I wanna be happy or more relaxed."

Pero tu código no me dejaría, simplemente por incluir una palabra.

Si lo que buscas es implementar seguridad intenta escapar tus consultas, ahí radica la clave, no en bloquear palabras.

[Jennifert]

Pero en un registro no vas a escribir ese tipo de mensajes, ya que pides nombre etc..

[GatorV]

Es lo mismo, eso es seguridad por obscuridad, no es la forma correcta de evitar SQL Inyection.

[pateketrueke]

Iniciado por Jennifert

Pero en un registro no vas a escribir ese tipo de mensajes, ya que pides nombre etc..

Si, pero si una persona se llama "Nicanor" el simple hecho del "or" arruina todo.

[Jennifert]

en eso tienes razon, entonces cual es la forma correcta #gator?

[pateketrueke]

Iniciado por pateketrueke

Si lo que buscas es implementar seguridad intenta escapar tus consultas, ahí radica la clave, no en bloquear palabras.

[Jennifert]

Gracias paketaso!

[GatorV]

O aún mejor usa consultas preparadas y así te evitas cualquier problema