Como validar para evitar inyecciones de codigo?

[karenlorenadg]

Hola amigos, quisiera ayuda de parte de ustedes, tengo este sistema de subir imagenes a mi servidor, pero quiero que no vayan a inyectarme codigo malisioso ya que este formulario estará al publico.

Agradezco su ayuda por favor. Este es mi codigo que registra.

Código PHP:

  <?php 
include("logica/conexion.php"); 
 
$target_dir = "./img_certific/"; 
$target_file = $target_dir . date('Ymd-His') . '_' . basename($_FILES["comprobante"]["name"]); 
$uploadOk = 1; 
$imageFileType = pathinfo($target_file,PATHINFO_EXTENSION); 
// Check if image file is a actual image or fake image 
if(isset($_POST["submit"])) { 
    $check = getimagesize($_FILES["comprobante"]["tmp_name"]); 
    if($check !== false) { 
        //echo "File is an image - " . $check["mime"] . "."; 
        $uploadOk = 1; 
    } else { 
        //echo "File is not an image."; 
        $uploadOk = 0; 
    } 
} 
 
 
 
if($imageFileType != "jpg" && $imageFileType != "png" && $imageFileType != "jpeg" 
&& $imageFileType != "gif" ) { 
    //echo "Sorry, only JPG, JPEG, PNG & GIF files are allowed."; 
    $uploadOk = 0; 
} 
 
// Check file size 
 
 
 if (move_uploaded_file($_FILES["comprobante"]["tmp_name"], $target_file)) { 
        //echo "El archivo ". basename( $_FILES["foto_1"]["name"]). " ha sido cargado."; 
    } else { 
        //echo "Sorry, there was an error uploading your file."; 
    } 
 
$sql="insert into table_certificados values  
(null,'".$_POST["nombres"]."','".$_POST["email"]."','".$_POST["grado"]."','".$_POST["ano_curso"]."','".$target_file."','".$_POST["mensaje"]."',now()) 
"; 
 
$res = mysqli_query($conectar, $sql); 
 
 
echo "<script type=''> 
    alert('Articulo realizado correctamente'); 
    window.location='cert_estudio.php'; 
</script>"; 
 
?>   

[Alexis88]

Puedes recurrir a las funciones que ofrecen extensiones como PDO o MySQLi e incluso utilizar expresiones regulares.

Una forma rápida y simple consiste en utilizar las funciones strip_tags y mysqli_real_escape_string:

Código PHP:

$email = mysqli_real_escape_string($conexion, strip_tags($_POST['email']));
 

Existen otras funciones que pueden darte resultados similares o mejores. Te sugiero hacer una búsqueda al respecto.