Was sind die Methoden, um Benutzereingaben zu überprüfen und die Injektion von MySQL zu verhindern?

Question

"Wir sollten niemals Benutzereingaben vertrauen", das ist, was ich irgendwo im Web gelesen habe.

Derzeit habe ich ein Webformular, sie geben ihren Benutzernamen und ihre E-Mails ein. Für Benutzernamen Feld, wie zu kontrollieren, zu prüfen und zu verhindern, mysql-Injektion? Derzeit ich dies in meinem PHP-Skript nur tun:

$username = mysql_real_escape_string($_POST['username']); // prevent mysql injection 

sehe ich einige Tutorials, bevor die mysql_real_escape_string Funktion, sie sind andere Funktionen wie, htmlentities, usw. (kann mich nicht erinnern, was es ist, und ich kann es nicht gefunden jetzt, seufz)

Ist das ein Muss, die so genannte "htmlentities" -Funktion vor mysql_real_escape_string ??

Was ist Ihre Methode, die Sie normalerweise verwenden, um Benutzereingabedaten zu überprüfen?

Oh ya, einige andere Funktionen:

stripslashes(); 
serialize(); 
urlencode(); 

muss ich die?

Answer 1

Sie machen es richtig, was die Eingabe Ihrer Daten in die Datenbank angeht. Sie sind gegen SQL-Injection-Angriffe geschützt.

htmlentities() und htmlspecialchars() sind nicht relevant für SQL-Injection-Angriffe; Sie sind relevant für XSS Angriffe, was ein ganz anderes Thema ist, das Sie untersuchen sollten, und ist ein relevantes Problem, wenn Sie Benutzereingaben im Web anzeigen.

Answer 2

wie @chaos sagte stimmt

Sie auch Datenbank-Abstraktionsschichten, wie gU verwenden können, die die Paramater entkommen wird für Sie

Answer 3

Sie auch mit prepared statements (ich glaube, das entspricht parametrisierte Abfragen aussehen könnte SQL Server), was die Angriffsfläche weiter reduziert.