Beveiliging

YVMdesign

Hallo,

Ik begin aan mijn maffia spel, maar wil natuurlijk wel alles goed beveiligen.

Is het slim om de $_GET zo te doen?

PHP

if (isset($_GET['removeid'])) {
    $id = mysql_real_escape_string($_GET['removeid']);
}

En om addslashes te gerbuiken als je het bericht verstuurd?

PHP

$msg = addslashes($_POST['msg']);

Hebben jullie mischien nog andere tips, laat ze gerust weten.

Met vriendelijke groet,
Youri van Mill

Darsstar

Addslashes()/mysql_real_escape_string() gebruik je alleen voor waardes die een database (of iets vergelijkbaars) in gaan.

Gebruik htmlspecialchars() als je iets op het scherm wilt weergeven.

Verder kun je dingen type-casten, en dat is de basis wel zo'n beetje...

YVMdesign

Oke dankjewel, iemand anders nog een suggestie?

NielsB

Als je cijfers gebruikt is het soms nog veiliger om gebruik te maken van (int) $variabel..
of is_numeric of !ctype_digit of iets anders.

Darsstar edit: Dat eerste is nou type-casting :p

Pharox

NielsB
is_numeric gebruik ik al een hele tijd niet meer.
Ben overgestapt op ctype_digit(), hele zooitje erbij is ook handig.

Verder zou ik het idee van Darsstar gebruiken, is een stuk veiliger

ICTscripters