защита запросов к бд

cosmo · 18.07.2005, 10:25

Привет всем. Наконец то форум заработал, и я опять смогу задать свои глупые вопросы.

Вопрос следующий. Не секрет что ссылки типа http://www.site.ru/page.php?id='345 являются потенциально опасными. Я такую проблему обхожу при помощи addslashes(). Но вот страница выдаст ошибку. Я видел страницы, на которых какую бы комбинацию ты не ввел, она все равно тебе выдаст тот результат, который бы был при правильной передаче (естественно не для всех запросов, а для запросов типа http://www.site.ru/page.php?id='345 или http://www.site.ru/page.php?id=345'

ninja_127 · 18.07.2005, 11:43

используй чпу + @

nagash · 18.07.2005, 12:03

что значит "страница выдаст ошибку"
какую ошибку?
кто выдаст?
кому выдаст?
поподробнее...

cosmo · 18.07.2005, 13:50

Ну смотри. Допустим есть запрос - mysql_query("select nazv from catalog where id='".addslashes($_REQUEST["id"])."'")

При обращении к странице, допустим www.site.ru/catalog.php?id=34, он выдаст нам название позиции, где id=34, но если кто-то напишет www.site.ru/catalog.php?id='34, то хотя он и защитит от подстановки запрос, но все таки выдаст ошибку что типа такого не найдено. Конечно это не существенно, можно это подавить, но просто я виде на сайте каком-то что когда так делаешь, он все равно выполняет запрос типа www.site.ru/catalog.php?id=34. Вот мне и стало интересно

P.S. nagash привет. Давно тебя не слышал

nagash · 18.07.2005, 13:57

для каждой конкретной ситуации тебе нужно разное поведение...
если тебе нужно только инт оставить - mysql_query("select nazv from catalog where id='".intval($_REQUEST["id"])."'")
и т.п. в зависимости от того, что требуется...

cosmo · 19.07.2005, 09:14

Спасибо. Я так и делаю. Конечно в основном используется int, для других данных использую addslashes()

Можно еще глупый вопрос. Никто еще не смог дать мне на него умный ответ

Crazy · 19.07.2005, 09:42

Цитата:

Сообщение от cosmo

Можно еще глупый вопрос. Никто еще не смог дать мне на него умный ответ

Умный ответ: на некорректный URL, которому не соответствует никакая страница, нужно выдавать ошибку 404. Строго по стандарту.

cosmo · 19.07.2005, 12:06

не я имел ввиду другой вопрос по ооп и классам. с этим все понятно. да, еще посоветуйте книгу хорошую, но не для новичков, а более продвинутую

Vovec · 19.07.2005, 14:13

Цитата:

по ооп и классам

в php (в 4 по крайней мере) нет нормальной реализации ООП

nagash · 19.07.2005, 14:26

Vovec
Да? и чего тебе в четвёрке от ООП не хватает?