מה הבעיה בהדבקת משתני מחרוזת אל שאילתא, אם סיננתי את המשתנה מכל התווים המזיקים?

מה ההבדל בין sprintf להדבקת מחרוזות בצורה ה"רגילה"?

ולמה אני רואה שכתוב בכל מקום שזה רע להדביק מחרוזות בצורה ה"רגילה", ושעדיף להשתמש ב-sprintf?

הצורה ה"רגילה":

קוד PHP:

 $foo = 'nu'.$bar; 


תודה מראש

בסופו של דבר, אין הבדל.

אז למה בכל מקום אני קורא שזה עדיף יותר ב- sprintf?
האם זה בגלל המניפולציה שאפשר לבצע על כל משתנה בנפרד (שבדר"כ זהו משתנה המכיל מידע המגיע ממקום חיצוני) ?

אם מקדישים כמה דקות מחשבה לעניין, מגלים שעדיף לבצע את המניפולציה\אבטחה על כל משתנה בהתחלה של הסקריפט PHP... ולא כל פעם מחדש בשליחת שאילתא למסד...

אני מאז ומתמיד שירשרתי.. איפה כתוב שזה רע? אני מניח שההסבר נמצא שם..

לא זוכר איפה ראיתי את זה אבל אני זוכר שקראתי את זה מספר פעמים...

אני חושב שאחד מהם זה כאן:
http://shiflett.org

ואם מתכנתים יותר מכמה דקות, מגלים שלפעמים אתה רוצה לעבוד על המידע הגולמי לפני הכנסתו למסד, ואז פתאום יש לך כל מיני סלאשים ואתה מתחרפן מאיפה הם באו...

טיפ שלי:

כללי אצבע:
1. לקבוע תחילית למשתנים מסוננים
2. אין להשתמש בתוך מחרוזת SQL במשתנים שלא מכילים תחילית זו
3. אין להציב שום דבר למשתנה שמתחיל בתחילית הנ"ל בלי ששורת ההכרזה לא מתחילה במילים mysql_escape_string

אם שומרים על 3 הכללים האלה, לעולם לא יהיה SQL Injection וגם אפשר לעבוד בקלות ובחופשיות בשאר הקוד ולא לדאוג.

וכמובן, בלי קשר לכללים אלה - לוודא שאין שום מצב שהאפשרות register_globals פועלת!!! אם כן, כבו אותה. אם אין באפשרותכם (אינכם מארחים את עצמכם), ומי שמספק לכם את האירוח מסרב - עיברו ספק אירוח !

נמאס לכם לזכור סיסמאות? לחצו כאן!

ציטוט:

ואם מתכנתים יותר מכמה דקות, מגלים שלפעמים אתה רוצה לעבוד על המידע הגולמי לפני הכנסתו למסד, ואז פתאום יש לך כל מיני סלאשים ואתה מתחרפן מאיפה הם באו...

לכן יש את הסינון ההתחלתי
שבו מתקנים את כל הסלאשים למיניהם...

ציטוט:

1. לקבוע תחילית למשתנים מסוננים

כמובן..זה מאוד חשוב.. עשיתי אותם כ-member במחלקה

ציטוט:

3. אין להציב שום דבר למשתנה שמתחיל בתחילית הנ"ל בלי ששורת ההכרזה לא מתחילה במילים mysql_escape_string

אתה מתכוון mysql_real_escape_string ...?

http://www.ariel.com.au/jokes/The_E...Programmer.html

==========================================

A working class hero is something to be

==========================================

תעשה פשוט ככה

ציטוט:

$bla = ''.$bla2.' shalom';