(2016-03-14 19:33:31)
Yaxşı üsul deyil, Çünki md5 şifrələyəcək bir ədəd bərabər olacaq bir neçə simvollar yığını və mysql bazadan məlumat ala bilməyəcək. İnjeksiya olmaması üçün mənim yığdığım və istifadə etdiyim bu funskiyadan keçirməyin bəs edər. Bu funksiya injecsiya yarada biləcək simvolları filtrləyir və təhlükəsizləşdirir.
[code]
function qoru($var){
$var = @trim($var);
$var = @htmlspecialchars($var);
$var = @stripslashes($var);
$var = @mysql_escape_string($var);
return $var;
}
$url = qoru($_get[‘url’]);
$a = $url
$qoshul = Mysqli_query($connect,”delete from users where id=$a”);
[/code]
Funksiyanı hər səhifəyə ayrıca çağırmağa ehtiyac yoxdur, sadəcə function.php, config.php ve s. kimi bir fayla funksiyani at və bütün sənədlərə include et. Bu qədər. Ən təhlükəsiz üsuldur.
Bu usulu tekce id yeni reqem tipli dəyişənlərdə yox bütün GET və ya POST-la aldığın və MYSQL-e verdiyin dəyişənləri bu funksiyadan keçirdikdən sonra MYSQL-ə ötür.
(2016-02-13 00:22:02)
Salam.
Yox yaxşı üsul deyil.
md5-ləmək inyeksiyadan filandan xilas edir bəli. Amma bu tip əməliyyatlar adətən id-yə görə aparılır deyə burada mütləq ədəd olmalıdır(həm sürət, həm indeksləmə, həm aydınlıq və.s. üçün).
Təhlükəsizlik barədə olan məqama gəldikdə isə təhlükəsizliyə vizual yox, məntiqi əməliyyat kimi baxmaq lazımdır. Yəni delete=5 olmasında qorxulu heç nə yoxdur, əsas odur ki delete=5-in tətbiq olunduğu blokda ciddi yoxlama olsun. (a-nin integer olması yoxlanılsın, cari userin bu id-li xananı silmə səlahiyyətinin olması yoxlanılsın). Bu tip məntiqi yoxlama olandan sonra get parametrində ədədləri şifrələyib bazada saxlamağın əsası qalmır.
Security məsələləri barədə bu qədər. Keçək privacy-yə. Yox əgər tutaq ki, istifadəçinin id-sinin bilinməsi security olmasa da privacy baxımdan düzgün deyilsə, o halda hər hansı riyazi operatorla GET parametrini bazadakı ədədə çevirmək olar. Yəni əsas odur alınan nəticə də ədəd olsun, md5-in uzun stringi yox.
Məsələn $baza_id=3*$get_id-2 filan.
Php rus şriflərini latin ilə əvəzləmək
phpdə pdf faylların içindəki yazılara görə axtarış