Seguridad en variables de entrada

[NSD]

hola que tal, vengo a hacerles una consulta a ver que es lo que usan ustedes o que recomiendan, quiero hacer una funcion que valide entradas de texto ($_POST,$_GET) y las devuelva listas para meterlas en SQL sin riesgo, hise esta funcion pero nose si es suficiente, ustedes que opinan?

Código PHP:

Function ValidaTextoSQL($VAR){
        $VAR = htmlspecialchars(stripslashes($VAR ));
        $VAR = str_ireplace("script", "blocked", $VAR );
        $VAR = mysql_escape_string($VAR );
        Return($VAR);
}
 

solo nesesito validar texto plano, es decir por ahora no me interesesa conservar ningun tipo de formato html y menos aun javascript, que opinan?

[h2swider]

Iniciado por NSD

hola que tal, vengo a hacerles una consulta a ver que es lo que usan ustedes o que recomiendan, quiero hacer una funcion que valide entradas de texto ($_POST,$_GET) y las devuelva listas para meterlas en SQL sin riesgo, hise esta funcion pero nose si es suficiente, ustedes que opinan?

Código PHP:

Function ValidaTextoSQL($VAR){
        $VAR = htmlspecialchars(stripslashes($VAR ));
        $VAR = str_ireplace("script", "blocked", $VAR );
        $VAR = mysql_escape_string($VAR );
        Return($VAR);
}
 

solo nesesito validar texto plano, es decir por ahora no me interesesa conservar ningun tipo de formato html y menos aun javascript, que opinan?

Lo mejor que puedes hacer mas que adultearar los datos como estas haciendo, es bindearlos a las querys que realices.

http://php.net/manual/es/mysqli-stmt.bind-param.php

[DoHITB]

Buenas!

Yo creo que mientras "elimines" las posibles amenazas todo debería ir bien. Yo personalmente hago lo siguiente:

- Busco caracteres "críticos" (por llamarlos de alguna manera) como "-", las dobles comillas, comillas simples... y las reemplazo por código html (htmlentities)

- Busco también palabras reservadas de mysql, como IN, AND, SELECT... (tengo una lista con todas, si la quieres ) y en esas palabras cambio las vocales por código html (htmlentities).

- También (a veces, si hace falta) cambio los caracteres de salto de línea, o ciertos caracteres que pueda usar yo cuando programo (los ";", "|", y otros, por ejemplo). Estos los sustituyo también.

Llámame paranóico si quieres, jajaja

Saludos!

[NSD]

Hola h2swider no conocia esa funcion, parece interesante, ahora mismo voy a ponerme a probar a ver que tan segura es, ya comentare como me va jaja
DoHITB no te llamo paranoico, de hecho yo antes validava asi:

Código php:

Preg_Replace('/[^A-Za-z0-9]+/' , ' ' , $VAR);
 

tenia el remiedo que me metieran algun caracter raro XD
ahora ando en busca de algo mas "profesional" y eficiente pero si no aprendo a a "blindear" variables ten esa lista a mano que seguro te la pido

[NSD]

h2swider tengo una duda con esa funcion, aparentemente no soporta multiquerys es decir no puedo ejecutar 2 consultas en simultaneo, como puedo solucionar eso? no encontre ninguna mysqli_multi_stmt_execute o algo asi :/

[h2swider]

Lo anterior que te pase es la forma en que recibe los datos la query, hacer varias querys dentro de una string no tiene nada que ver, igualmente se puede hacer.

http://php.net/manual/es/mysqli.multi-query.php

De todas formas no esta muy bien hacer multiquerys si estas buscando algo bien programado, deberias usar procedimientos.

http://stackoverflow.com/questions/6...ared-statments

[NSD]

He probado bastante y no puedo hacer dos consultas en simultaneo, sin embargo el blindado de datos funciona perfecto para una XD
La base de datos:

Código SQL:

--
-- Base de datos: 'prueba'
--
 
CREATE TABLE IF NOT EXISTS 'tabla1' (
  'ID' INT(11) NOT NULL AUTO_INCREMENT,
  'Nombre' CHAR(60) NOT NULL,
  'Apellido' CHAR(60) NOT NULL,
  PRIMARY KEY ('ID')
) ENGINE=InnoDB DEFAULT CHARSET=latin1 AUTO_INCREMENT=1 ;
 
CREATE TABLE IF NOT EXISTS 'tabla2' (
  'ID' INT(11) NOT NULL AUTO_INCREMENT,
  'IDT1' INT(11) NOT NULL,
  'Edad' CHAR(20) NOT NULL,
  PRIMARY KEY ('ID')
) ENGINE=InnoDB DEFAULT CHARSET=latin1 AUTO_INCREMENT=1 ;
 

El PHP:

Código PHP:

$Conexion = Mysqli_Connect('localhost','User','Pass','prueba');
$_POST['Nombre']='Nehuen';
$_POST['Apellido']='Prados';
$_POST['Edad']='20';
$SQL="INSERT INTO tabla1 VALUES('',?,?);";
$SQL.="INSERT INTO tabla2 VALUES('',LAST_INSERT_ID(),?);";
$Consulta = Mysqli_Prepare($Conexion, $SQL);
Mysqli_Stmt_Bind_Param($Consulta, 'ssi', $_POST['Nombre'], $_POST['Apellido'], $_POST['Edad']);
Mysqli_Stmt_Execute($Consulta);