Beveiliging

YVMdesign · 7 Januari 2010

Hallo,

Ik begin aan mijn maffia spel, maar wil natuurlijk wel alles goed beveiligen.

Is het slim om de $_GET zo te doen?

PHP

if (isset($_GET['removeid'])) {
    $id = mysql_real_escape_string($_GET['removeid']);
}

En om addslashes te gerbuiken als je het bericht verstuurd?

PHP

$msg = addslashes($_POST['msg']);

Hebben jullie mischien nog andere tips, laat ze gerust weten.

Met vriendelijke groet,
Youri van Mill

Darsstar · 7 Januari 2010

Addslashes()/mysql_real_escape_string() gebruik je alleen voor waardes die een database (of iets vergelijkbaars) in gaan.

Gebruik htmlspecialchars() als je iets op het scherm wilt weergeven.

Verder kun je dingen type-casten, en dat is de basis wel zo'n beetje...

YVMdesign · 7 Januari 2010

Oke dankjewel, iemand anders nog een suggestie?

NielsB · 7 Januari 2010

Als je cijfers gebruikt is het soms nog veiliger om gebruik te maken van (int) $variabel..
of is_numeric of !ctype_digit of iets anders.

Darsstar edit: Dat eerste is nou type-casting :p

Pharox · 7 Januari 2010

NielsB
is_numeric gebruik ik al een hele tijd niet meer.
Ben overgestapt op ctype_digit(), hele zooitje erbij is ook handig.

Verder zou ik het idee van Darsstar gebruiken, is een stuk veiliger

Participate now!