1

Вот вопрос такой.

Все передаваемые на сервер данные из формы можно проверить, используя множество способов, включая регулярные выражения и подготовленные запросы stmt и PDO. А как быть с паролем? Ведь пользователю разрешено использовать абсолютно любые символы в написании пароля, в том числе и микрострочку sql-инъекции! Конечно, пароль можно сразу же кодировать в md5, но как быть, если, например, пароль должен храниться в БД mysql не в закодированном виде, а в настоящем (например, для восстановления забытого)?

13
  • 7
    Для востановления генерируется новый пароль. ПО соображениям безопасности(а вдруг уведут таблицу с паролями) никогда не храните пароли в открытом виде.
    – terantul
    12 дек 2013 в 19:44
  • @terantul, никогда не храню! Боже упаси! Просто задумался - на серьезных порталах есть такая фишка - восстановление первоначального пароля
    – Deus
    12 дек 2013 в 20:15
  • 1
    @Deus: Не про вас, что вы, вы ведь спрашиваете, как правильно. Это про тех, кто не спрашивает, и вводит ограничения. --- А даже если придётся сохранять текст, определяемый юзером, через mysqli этот текст никогда не выполнится, хоть при вставке, хоть через select. Не бойтесь. --- Удалил тот комментарий, чтобы никто не думал, что это на ваш счёт.
    – VladD
    13 дек 2013 в 10:12
  • 2
    @Deus: stmt вообще идёт через текстовое представление. Он сразу компилирует statement, и подставляет значение параметра. Смотрите: какая проблема в SQL injection? Та, что в SELECT text WHERE password=x AND 1 = 1 часть "AND 1 = 1" воспринимается не как часть параметра, а как отдельное условие. А при компиляции разбивка на параметры и условия заканчивается при prepare, больше никаких дополнительных условий возникнуть не может, значение ? заменяется на значение параметра на уровне объектов.
    – VladD
    13 дек 2013 в 23:44
  • 2
    @Deus, работа с placeholders (она же binding) никакого отношения к экранированию кавычек не имеет в принципе. При "экранировании" формируется обычная текстовая строка запроса. При работе через bind никаких вставок текста в исходное выражение не происходит. Можно считать, что эти самые символы '?' являются ссылками на внешние объекты, а сама строка с запросом никак не меняется.
    – user6550
    13 дек 2013 в 23:52

3 ответа 3

5

Можно кодировать все опасные символы на ASCII http://www.asciitable.com/
И использовать для этого специальные фильтры http://www.php.net/manual/ru/filter.filters.sanitize.php и флаги к ним.

…а на выходе декодировать

5

храните в base64, скажем

2
  • 1
    Или crypt. 12 дек 2013 в 20:13
  • 1
    +1 за base64, но только в том случае если пароль нужно сохранить в первоначальном виде (иногда такое все же нужно).
    – KoVadim
    13 дек 2013 в 9:58
0

кто сказал, что пользователю разрешено вводить любые символы? точно также как и проверяете поля логина, емейла и еще чего-то там через регулярки, так и проверяйте пароль. Сбоку возле инпута пароля напишите что можно вводить и все. И да прибудут с вами печеньки.

4
  • 3
    @mountpoint, прикалываетесь? Я серьезно спросил. Я всегда кодирую пароль в md5 с какой-нибудь солью. Пароль может состоять из любых символов! На то от и пароль.
    – Deus
    12 дек 2013 в 19:28
  • @Deus, я ничего не говорил о том, что не надо хешировать пароль! Просто нужно написать для пользователя, что в поле пароль можно вводить следующие символы A-я, A-z, *$%^& и т.д., и он поймет, что кавычки использовать низзя! Профит. Неужели так сложно понять?
    – mountpoint
    12 дек 2013 в 20:24
  • 1
    @mountpoint, кавычки использовать можно и нужно, как и все остальные запрещенные символы!!!
    – Deus
    12 дек 2013 в 20:29
  • 6
    @mountpoint, а с чего это вдруг нужно ограничивать пользователей в символах для пароля? Да пусть хоть табуляции и переводы строк вводит, имеет полное право, только надёжность выше будет.
    – user6550
    12 дек 2013 в 20:37

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.