0

Добрый день! Имеется следующий запрос:

$result = $conn->query("Insert Into comments (code_blog, Name_author, Text_comment) VALUES (".$article_id.", '".$_POST['posName']."', '".$_POST['posText']."')");

Данные $POST вставляются из формы, в которую пользователь набирает свое имя и текст. Как можно защититься от некорректных данных и зловредных вставок кода со стороны пользователя? Кроме mysql_real_escape_string (экранирования) что можете посоветовать, друзья?

2
  • Нужно использовать PDO. 19 июл 2013 в 16:53
  • это принципиально важно? Чем mysqli плох?
    – IntegralAL
    19 июл 2013 в 17:04

1 ответ 1

2

проще всего - ввести ограничение на символы. Например, если и имя и пароль состоят только из букв, цифр и подчеркиваний, то сломать что-то становится крайне затруднительно.

preg_match('/[a-zA-Z_0-9]+/',$_POST['posName']);
7
  • я в регулярных выражениях слаб еще. А как добавить сюда еще русский алфавит в эту функцию? /[a-z,A-Z,а-я,А-я,0-9]+/ Так?
    – IntegralAL
    19 июл 2013 в 16:03
  • да, без запятых. Только учтите, для юникода вам потребуется u, плюс ко всему а-я не содержит ё. Полностью для однобайтовой кодировки: preg_match(/[a-zA-Zа-яёА-ЯЁ_0-9]+/,$_POST['posName']);
    – knes
    19 июл 2013 в 16:08
  • а вопрос такой еще. Пунктуация: точка, запятая, восклицательные и вопросительные знаки и тире будут тоже сюда включены? Или надо менять регулярное выражение?
    – IntegralAL
    19 июл 2013 в 16:13
  • подставил регулярные выражения, и что-то перестало вставлять данные... цифра 1 только в базе данных вставилась. С чем это связанно?
    – IntegralAL
    19 июл 2013 в 16:18
  • 1
    htmlspecialchars :) php.net/manual/ru/function.htmlspecialchars.php
    – knes
    19 июл 2013 в 18:26

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.