codigo seguro?

[diazluis2008]

pedi por favor la auditoria del siguiente codigo..
estoy desarrollando una aplicacion sobre AJAX
y quiero hacer las cosas bien en relacion a los posibles inyecciones de codigo

Código:

<?php
header('Content-type: text/plain; charset=ISO-8859-1');

	include 'lib/script_connect.php';

	$tipo = (int) strip_tags($_POST['tipo']);

	
		if ($tipo == 0){
			$sql = "SELECT * FROM articulo, pedido GROUP By (idarticulo) LIMIT 8";
			
		}elseif ($tipo !=0){
		
			$sql = sprintf("SELECT *  FROM articulo, pedido WHERE  (articulo.tipo =%u)) GROUP By (idarticulo) LIMIT 8"
			, mysql_real_escape_string($tipo));
		}
		
		$resultado = mysql_query($sql, $link_db);

		while ($reg = mysql_fetch_array($resultado)){
			include 'lib/json_detalle.php';		
			include 'lib/json_foto.php';
		}
		mysql_free_result($resultado);
?>

[pateketrueke]

yo lo veo bien...

aun así, es mejor que leas muy bien que son SQL Injection, XSS y CSRF

si lo lees con atención, te vas a dar cuenta de en que consisten los ataques... en lugar de "protegerte" contra una amenaza que desconoces...

pienso, eso sería lo ideal... suerte!


Edito:

al hacer use de (int) ya estas convirtiendo el $tipo en entero, de modo que es innecesario el mysql_real_escape_string() que haces mas adelante...

y de hecho, si usas (int) tampoco tiene caso el strip_tags() anterior... ya que (int) convierte todo a un entero.... así que con o sin strip_tags() el resultado es el mismo...

[0zx]

Pues Puede que con INT, no puedar Inyectar Codigo SQL, pero talves podria generar algun "error" que se mostrara en Pantalla.

Si Ingresas el Siguiente Codigo:
error_reporting(E_NONE);

Evitas que se Muestren errores, ocupa menos recursos que Ocupar @ adelante de las variables .

En lo Posible Ocupa Htmlentities. Me Parece mas Prolijo y evita errores.

$var = $_POST['var'];
htmlentities($var, ENT_QUOTES);


Tambien Intenta Ocupar Excepciones try , catch.

try {
$error = 'Always throw this error';
throw new Exception($error);

// Code following an exception is not executed.
echo 'Never executed';

} catch (Exception $e) {
echo 'Caught exception: ', $e->getMessage(), "\n";
}

// Continue execution
echo 'Hello World';
?>

Asi Controlas Todos los Posibles Errores. y el Resultado es Mucho mas Pro

Saludos Espero que te Sirvan los Consejos¡