это дыра?

20 Дек 2013

<?$msg=$_POST['msg'];
if (isset($_POST['translit']) && $_POST['translit']==1)$msg=translit($msg);
if (strlen2($msg)<2)$err[]='Короткое сообщение';
if (strlen2($msg)>10000)$err[]='Длина сообщения превышает предел в 10000 символjd';?>

Статистика WMID автора:

500379240102 BL

Претензии | Отзывы

Комментарии:

WIZART

20 Дек 2013

HASANOV (20 Дек 2013):
WIZART, $msg=$_POST['msg'];
Но при записи в базу он фильтрируется.

HASANOV, тебе за это и говорят что в социале фильтрация стоит в самом запросе в базу smile

там стоит не просто $п , а фильтр($п) но можно фильтровать и так как показал тебе примеры я. Мне лично удобнее что в запросе вставлять, так как любые действия с базой я фильтрую.
______________________
Imitation of life

HASANOV

20 Дек 2013
Genocide,

HASANOV

20 Дек 2013
Genocide, ну я им говарю нет не верять))))

Engine

20 Дек 2013
В dcms все пост данные фильтруются в запросе

HASANOV

20 Дек 2013
WIZART, $msg=$_POST['msg'];
Но при записи в базу он фильтрируется.

HASANOV

20 Дек 2013
WIZART,тогда тут тоже скажешь дыра)))
php

mail (14.5Kb)
Рейтинг: 0/0 | Скачано: 86 раз(а)

WIZART

20 Дек 2013

HASANOV (20 Дек 2013):
это когда дыром
$msg=$_POST['msg'];
стал по вашему smile

для этого есть ['msg'] для филтера
$msg=$_POST['msg'];
в каждым сторчки и скрипты в dcms есть

HASANOV,
$msg=$_POST['msg']; - дырка так как не стоит фильтрация в запрос базы, давай напиши мод без фильтрации и дай мне ссыль я тебе объясню что такое sql инекции.
$msg=my_esc($_POST['msg']); - дырки нет, запрос фильтруеться
$msg=esc($_POST['msg']); - вырезает не читаемые символы
$msg=intval($_POST['msg']); - фильтрует цифровые запросы.
$msg=htmlspecialchars($_POST['msg']); - расшифровывает в запросе символы и если не в запроси закрывает выполнение html кода.
Продолжить ?
______________________
Imitation of life