Que tan seguro es ésta función para evitar sql inject?

[America|UNK]

Código php:

function sql_escape($msg)
    {
        return str_replace(array("'", "\0"), array("''", ''), $msg);
    }
 

[pateketrueke]

¿eso es para usarlo en MySQL o que motor??

http://php.net/mysql_real_escape_string
http://php.net/mysql_escape_string

[America|UNK]

Mssql .

[pateketrueke]

mmm... ahora veo

me parece que no existe una funcion similar en MSSQL

así que si, tu funcion tal ves sirva... solo agrega un stripslashes() antes de todo...
suerte!

[America|UNK]

Pero el stripslashes solo quita lo de addslashes y no el escapa el '

[Triby]

Parece ser suficientemente segura, porque escapas comillas sencillas y eliminas el caracter nulo, solo faltaria averiguar si las comillas dobles deben escaparse tambien o no.

[pateketrueke]

me recuerda a SQLite, te digo por que:

Código PHP:

  $a = "foo bar\\'s";
$b = str_replace("'", "''", $a); // foo bar \''s
$c = str_replace("'", "''", stripslashes($a)); // foo bar''s  
   

supongo que ese es el resultado, ya que NO necesitas escapar cualquier carácter... solo las comillas simples...

por eso, no es necesario usar addslashes() antes, pero si es usado... por eso, usa stripslashes() para no comprometer nada


aunque, por experiencia personal... uso algo así (ambiguo):

Código PHP:

  str_replace("\\'", "''", addcslashes($text, "'"))  
   

también te sugiero escapar ?();-


(espero que me haya explicado, aunque no se si este en lo correcto)

[Kristt]

usa

Código PHP:

  mysql_real_escape_string()  
   

[Ronruby]

http://stackoverflow.com/questions/5...ssql-using-php

[America|UNK]

Iniciado por Krist

mysql_real_escape_string()

digo MSSQL por segunda vez

Pero el problema que yo ingreso usuarios con ese carácter por que no quiero registrar Usuari\'O si no Usuari'o

[Ronruby]

Revisa el aporte que te deje ;)

digo MSSQL por segunda vez

PD: Necesitas calmarte...