Segurança de sistema de notícias

[Gabriel Sampaio 0]

Estou fazendo um sistema de notícias mas estou em duvido sobre a maneira de fazer a segurança e gostaria da opinião de vocês.

Estou fazendo o sistema em PHP PDO e usando algumas funções para filtrar comando sql

 

Função de filtragem:

 

preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$texto);

 

 

Código de inserção:

$not = 'INSERT INTO noticia (titulo,texto,criador, data) ';
    $not.= 'VALUES (:titulo,:texto,:criador, :data)';
    try{
       $not = $conecta->prepare($not);
       $not->bindValue(':titulo',$titulo,PDO::PARAM_STR);
       $not->bindValue(':texto',$texto,PDO::PARAM_STR);
       $not->bindValue(':criador',$matricula,PDO::PARAM_STR);
       $not->bindValue(':data',$data,PDO::PARAM_STR);       
       $not->execute();              
    }

O que vocês acham melhor fazer para esse sistema?

[Beraldo 864]

Largue esse preg_replace e use Prepared Statements

Vai ficar seguro e sem precisar remover palavras que o usuário digitar

[Gabriel Sampaio 0]

E como eu posso proteger para XSS? tem algo que bloqueie?

[rockrgo 138]

Os Statements possuem filtros, da uma olhada nos links abaixo.

 

http://php.net/manual/pt_BR/pdostatement.bindvalue.php

http://php.net/manual/pt_BR/pdo.constants.php

[Gabriel Sampaio 0]

Os Statements possuem filtros, da uma olhada nos links abaixo.

 

http://php.net/manual/pt_BR/pdostatement.bindvalue.php

http://php.net/manual/pt_BR/pdo.constants.php

Mas nenhum que proteja de XSS, acho que o bindvalue só irá ajudar no sqlinjection

 

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#Tests

[rockrgo 138]

filter_var($input, FILTER_SANITIZE_STRING);

[Beraldo 864]

E como eu posso proteger para XSS? tem algo que bloqueie?

htmlspecialchars()

[Maykel-ctba 233]

Desculpem a ignorância, mas do que se trata "XSS"?

[rockrgo 138]

Desculpem a ignorância, mas do que se trata "XSS"?

https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

 

Um tipo de ataque utilizando scripts

[Maykel-ctba 233]

Obrigado, @rockrgo ;-)