mysql_real_escape

Heleu Guys,

Van de week was ik even een script aan het uittesten op een site. Toen zeiden ze op phphulp dat ik mysql_real_escape moest gaan gebruiken.

Nu lukt dit aardig goed, als ik een mysql query maak gebruik ik het altijd als ik een andere mysql query erin zet. ook met $_POST gebruik ik het ook.

Maar nu had ik een vraag. als ik gewoon dit heb:

SELECT gebruikersnaam,avatar FROM leden WHERE id=1

Moet ik die gebruikersnaam en avatar ook in mysql_real_escape zetten?

Wie o wie kan me hiermee helpen ;p

Alvast bedankt,

Nope

Ok, Dan kan Topic Dicht

Alleen als het POST/GET/COOKIE variabelen zijn, dienen deze te worden escaped.

Aarclay schreef:

Alleen als het POST/GET/COOKIE variabelen zijn, dienen deze te worden escaped.

Of een variable die enige bovenstaand opgenoemde dingen bevat. Soms handig om elke var te beveiligen. Behalve als je veel vars gaat gebruiken met haakjes in wat ook bedoeling is.

@ Aarlay & Vriendje: Elke var waarvan jij weet wat erin staat hoef je niet te escapen (tenzij er uiteraard karakters in staan die je MOET escapen).
Bij gebruikersinput (GET, POST, COOKIE dus, zoals Aarclay zegt), moet je eigenlijk altijd escapen. Je weet nooit 100% zeker wat de gebruiker kan invoeren.

Rik schreef:

@ Aarlay & Vriendje: Elke var waarvan jij weet wat erin staat hoef je niet te escapen (tenzij er uiteraard karakters in staan die je MOET escapen).

Bij gebruikersinput (GET, POST, COOKIE dus, zoals Aarclay zegt), moet je eigenlijk altijd escapen. Je weet nooit 100% zeker wat de gebruiker kan invoeren.
Dit dus, het slaat nergens op om de rest ook maar te escapen.

Sorry voor de bump, maar SESSION moet toch ook worden escaped?

In een session weet je zelf wat je zet, dus dat ligt aan de inhoud. Als jij een cijfertje in de session zet dan hoeft dat niet.

Ruben schreef:

In een session weet je zelf wat je zet, dus dat ligt aan de inhoud. Als jij een cijfertje in de session zet dan hoeft dat niet.

Ok, bedankt Lennard.
toevoeging op 6 maart 2012, 1627:
Ow, je bent Ruben. Naja, leuk dat je eens langs komt

Nog een vraagje.

Is beveiligen met mysql_real_escape genoeg tegen injection? of kun je nog meer doen?

Efferinie schreef:

Nog een vraagje.

Is beveiligen met mysql_real_escape genoeg tegen injection? of kun je nog meer doen?

Hangt er van af wat je script is. Bij form moe je kijken of bv de mail klopt. Bij database query met posts of gets moet je injectoe tegen gaan en bij text output XXS injections.

Als een gebruiker een bericht in de database kan zetten bij bijvoorbeeld een forum of dergelijk. Kan hij dus ook erin zetten of gewoon een leuk berichtje. Als je dat vervolgens uit de database haalt krijg je een niet zo mooie melding. Daarom kan je:

htmlentities($query_die_er_voor_zorgt_dat_je_dat_berichtje_te_zien_krijgt);

gebruiken. Dit veranderd de: <,>,(,,), in html codes waardoor je dus i.p.v. die alert gewoon text krijgt.

Wouterp schreef:

Als een gebruiker een bericht in de database kan zetten bij bijvoorbeeld een forum of dergelijk. Kan hij dus ook erin zetten of gewoon een leuk berichtje. Als je dat vervolgens uit de database haalt krijg je een niet zo mooie melding. Daarom kan je:

htmlentities($query_die_er_voor_zorgt_dat_je_dat_berichtje_te_zien_krijgt);

gebruiken. Dit veranderd de: <,>,(,,), in html codes waardoor je dus i.p.v. die alert gewoon text krijgt.

Vriendje schreef:

Eerdere citaten tonen

Efferinie schreef:

Nog een vraagje.

Is beveiligen met mysql_real_escape genoeg tegen injection? of kun je nog meer doen?

Hangt er van af wat je script is. Bij form moe je kijken of bv de mail klopt. Bij database query met posts of gets moet je injectoe tegen gaan en bij text output XXS injections.