Php get metodu və şifrələmə

Salam
Php ilə get metodu ilə bir dəyər götürəndən sonra mysql sorğuda işlədirik e həmin dəyəri bir şifrələmə funksiyası ilə şifrələyib işlədə bilərik bu zaman inyeksiya zad olmaz məsələn:

$a=md5($_get[‘url’]);
Mysqli_query($connect,”delete from users where id=$a”);

Sizcə bu yaxşı üsuldur?

Sualı verdi: Şükür Hüseynov (12/02/2016)

php. Qısa keçid.

Verilmiş cavablar və yazılan şərhlər (2 cavab var)

Software Developer

(00:22, 13/02/2016 ) #61478

Salam.
Yox yaxşı üsul deyil.
md5-ləmək inyeksiyadan filandan xilas edir bəli. Amma bu tip əməliyyatlar adətən id-yə görə aparılır deyə burada mütləq ədəd olmalıdır(həm sürət, həm indeksləmə, həm aydınlıq və.s. üçün).
Təhlükəsizlik barədə olan məqama gəldikdə isə təhlükəsizliyə vizual yox, məntiqi əməliyyat kimi baxmaq lazımdır. Yəni delete=5 olmasında qorxulu heç nə yoxdur, əsas odur ki delete=5-in tətbiq olunduğu blokda ciddi yoxlama olsun. (a-nin integer olması yoxlanılsın, cari userin bu id-li xananı silmə səlahiyyətinin olması yoxlanılsın). Bu tip məntiqi yoxlama olandan sonra get parametrində ədədləri şifrələyib bazada saxlamağın əsası qalmır.
Security məsələləri barədə bu qədər. Keçək privacy-yə. Yox əgər tutaq ki, istifadəçinin id-sinin bilinməsi security olmasa da privacy baxımdan düzgün deyilsə, o halda hər hansı riyazi operatorla GET parametrini bazadakı ədədə çevirmək olar. Yəni əsas odur alınan nəticə də ədəd olsun, md5-in uzun stringi yox.
Məsələn $baza_id=3*$get_id-2 filan.

Cavablamaq üçün sağ sütundan hesaba daxil olmaq lazımdır

NurlanXp

(19:33, 14/03/2016 ) #62113

Yaxşı üsul deyil, Çünki md5 şifrələyəcək bir ədəd bərabər olacaq bir neçə simvollar yığını və mysql bazadan məlumat ala bilməyəcək. İnjeksiya olmaması üçün mənim yığdığım və istifadə etdiyim bu funskiyadan keçirməyin bəs edər. Bu funksiya injecsiya yarada biləcək simvolları filtrləyir və təhlükəsizləşdirir.


function qoru($var){
	$var = @trim($var);
	$var = @htmlspecialchars($var);
	$var = @stripslashes($var);
	$var = @mysql_escape_string($var);
	return $var;
	}

$url = qoru($_get[‘url’]);
$a = $url
$qoshul = Mysqli_query($connect,”delete from users where id=$a”);

Funksiyanı hər səhifəyə ayrıca çağırmağa ehtiyac yoxdur, sadəcə function.php, config.php ve s. kimi bir fayla funksiyani at və bütün sənədlərə include et. Bu qədər. Ən təhlükəsiz üsuldur.
Bu usulu tekce id yeni reqem tipli dəyişənlərdə yox bütün GET və ya POST-la aldığın və MYSQL-e verdiyin dəyişənləri bu funksiyadan keçirdikdən sonra MYSQL-ə ötür.

Cavablamaq üçün sağ sütundan hesaba daxil olmaq lazımdır

Bu suala aid öz sualım var:
Sual verin

Bu suala cavab vermək istəyirəm:
Cavab verin