Duda sobre seguridad

[luks77]

Hola a todos,

1)estaba pensando hacer un "simulador de php", lo que seria un <textarea> donde el usuario escriba todo su code php , y al tocar "probar" lo muestre.

El problemas es q tengo muchas dudas de que funciones serian conveniente prohibir para evitar problemas. Muchas gracias.

2)Para evitar las inyecciones xss o sql con usar htmlentities ya me protejo o igual sigo en riesgo. Muchas gracias

[deivax]

Quizás lo más engorroso y molesto pero también seguro, podría ser que hagas un array con los nombres de las funciones permitidas, y que al intentar ejecutar el código que el cliente escriba en el textarea primero chequeás que la función esté en el array.

[farra]

htmlentities() solo te servira para ataques xss... no te va a salvar de inyecciones sql....

para inyecciones sql debes usar alguna funcion como esta:

Código PHP:

  <?php
function antisqlinyection($theValue,$longitudmax) {

  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;

  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

 $theValue = strip_tags($theValue);
 $theValue = substr($theValue, 0, $longitudmax);
 $theValue = htmlentities($theValue);

  return $theValue;

}
?>