שלום

יש לי טופס התחברות פשוט שמיישם פעולת התחברות פשוטה.
כמובן שהטופס ניגש למסד נתונים. ופה בדיוק הבעיה.
אני רוצה לאבטח את הטופס הזה, עד כמה שאפשר.
אשמח לקבל איזו רשימה של כל האמצעים שאני צריך להשתמש בהם על מנת לאבטח טופס.

תודה לעוזרים

רועי

מאיזו בחינה לאבטח?

הכל תלוי לאן הנתונים מגיעים:

אם הנתונים נכנסים לתוך שאילתא שמוגשת למסד הנתונים, צריך להריץ mysql_real_esacpe_string על המחרוזת כדי להבריח תוים שיכולים להיחשב כאלמנטים של שפת ה-SQL, במקום שייחשבו בתור מחרוזת.

מלבד זאת, אם הנתונים נכנסים לפיסקת LIKE, יש להבריח תווים אחרים (בדר"כ את התוים '%' ו- '_'), כיוון שלפיסקת LIKE יש תחביר\"חוקים" אחרים.
ההברחה תיעשה ע"י הוספת קידומת של לוכסן אחורי ( \ ) לתוים הנ"ל.

חשוב להבין שזה הכל תלוי באיפה הנתון יכול להגיע ומה הוא עלול לעשות במקום הזה.

אם הנתונים יגיעו מתישהו למסמך HTML, יש להבריח אותם עם הפונקציה שממירה תוי HTML מסוימים לחלופות ה-entities שלהם.

עריכה:

אתן דוגמא טובה למתי אין צורך להבריח תוי HTML מסוימים - כאשר בפאנל הניהול, אתה נותן אפשרות לאדמין לערוך עמוד HTML, שבו אתה מאפשר לו לכתוב קוד HTML טהור בלי שינויים כלל. (אין שום מעבר מ-BBCODE ל-HTML, אלא רק HTML היישר מעורך ה-WYSIWYG)

אז מכל המקרים שציינת, אצלי הם מגיעים רק לשאילתא שמוגשת למסד הנתונים.
לא לHTML, ולא לLIKE.
אז mysql_real_esacpe_string לבד, תמלא את התפקיד?

mysql_real_escape_string תמלא את התפקיד בתנאי שמסד הנתונים יודע מהו הקידוד של התוים האלו.

מומלץ להגדיר את הקידוד באמצעות פונקציות הממשק למסד הנתונים, כמו mysqli::set_charset. אם הפונקציה לא קיימת\זמינה, אפשר עם שאילתת SET NAMES, אך כפי שכתוב בדוקו' זה לא מומלץ.

ד"א אני חושב שכדאי שתעבור ל- mysqli במקום mysql. המעבר לא אמור להיות קשה בכלל בזכות ה-OOP של PHP5.

קידוד מסד הנתונים מוגדר כUTF8 general ci .
ואני משתמש בset names בשביל להגדיר את קידוד ההעברה.

הטופס עובד אחרי ששמתי את mysql_real_escape_string על המשתנים שנשלחים בשאילתא.

תודה

NP : - )

רק בשביל הדיוק: x_general_ci זה בוודאות ה-collation של הקידוד, כלומר קבוצת חוקים שבעזרתם מבצעים sorting למחרוזות.

ציטוט:

ואני משתמש בset names בשביל להגדיר את קידוד ההעברה.

אתה יכול להיעזר בפונקציה function_exists כדי לבדוק אם הפונקציה של הממשק למסד קיימת.

ציטוט:

הטופס עובד אחרי ששמתי את mysql_real_escape_string על המשתנים שנשלחים בשאילתא.

אין צורך לשים על כולם, אלא רק על המחרוזות.
עבור שאר המשתנים, שהם לדוגמא מסוג int, פשוט תבצע casting ל- int באמצעות PHP, ואתה יכול לשים את זה היישר בשאילתא.

אוקיי