0

Передаю параметры ajax на php обработчик и проверяю с помощью функции mysql_escape_string может ли это защитить от инъекций и ХSS?

$absnum = mysql_escape_string($_POST['id']);
5
  • Что у вас в $_POST['id'] ожидается?
    – Visman
    18 сен 2015 в 12:15
  • 1
    А доки читали? This function was deprecated in PHP 4.3.0 и далее Функция экранирует unescaped_string таким образом, после чего её можно безопасно использовать в mysql_query(). Данная функция устарела. Функция идентична mysql_real_escape_string(), исключая тот факт, что mysql_real_escape_string() принимает параметром ещё и идентификатор соединения и экранирует строку с учетом текущей кодировки. mysql_escape_string() не делает этого и результат работы не зависит от кодировки, в который вы работаете с БД.
    – BOPOH
    18 сен 2015 в 12:15
  • Кстати, mysql_real_escape_string тоже устарело
    – BOPOH
    18 сен 2015 в 12:17
  • @modelfak, ответьте на вопрос, пожалуйста.
    – Visman
    18 сен 2015 в 13:14
  • @Visman ожидается строка вобще произвольная
    – modelfak
    18 сен 2015 в 14:19

2 ответа 2

1

Как фильтровать передаваемые параметры php

Никак. Никакая фильтрация передаваемым в РНР параметрам не требуется.

может ли это защитить от инъекций и ХSS?

Нет.

Эта функция ни малейшего отношения ни к одной, ни к другой уязвимости не имеет.

Чтобы защититься от "инъекций", надо использовать PDO, передавая переменные в запрос через плейсхолдеры.

Чтобы защититься от XSS, надо выводить пользовательские данные, обработав их функцией htmlspecialchars()

1
  • Эта функция имеет отношение к sql-инъекциям. В остальном всё верно.
    – artoodetoo
    19 сен 2015 в 4:12
-2

Да, функция mysql_escape_string() сделана чтобы решать проблему SQL-injection. Но только рекомендуется заменить её на более новую mysql_real_escape_string(), а еще рекомендуется отказаться от устаревшего расширения mysql в пользу mysqli или PDO.

Если идти по пути наименьших телодвижений, можно перейти на процедурный вариант mysqli. Достаточно поиском-с-заменой пройтись по текстам и переделать mysql_* на mysqli_* и потом буквально чуточку обработать чтобы где надо упоминался пропущенный параметр $link. В таком случае, защитой будет mysqli_real_escape_string().

От внедрения скриптов (XSS) есть другое лекарство: функции htmlspecialchars() или htmlentities(). Они превращают знаки "<" и ">" в коды &lt; и &gt; и поэтому враг не сможет ввести такой комментарий, который при выводе на страницу создал бы тег <script> Популярные шаблонизаторы по умолчанию оборачивают весь вывод в одну из этих функций.

Читать:

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.