Parâmetro addslashes

[Web.Developer 9]

Esse parâmetro addslashes é melhor que um mysql_real_escape_string para Mysql ex: 

<?php

$id = $_GET[id];

$idslash = addslashes($id);

?>

ou eu uso uma function

 

<?php

function AntiSQL($str) {
    if (!is_numeric($str)) {
        $str = get_magic_quotes_gpc() ? stripslashes($str) : $str;
        $str = function_exists('mysql_real_escape_string') ? mysql_real_escape_string($str) : mysql_escape_string($str);
    }
    return trim($str);
}

$id = $_GET[id];

$idslash = AntSql($id);

?>

Qual é melhor Ant injection ?

[srmacedo 66]

Você já fez um tópico semelhante à esse e eu te disse o que era para fazer.

O addslashes pode ser um complemento para adicionar '\'.

Mas você não precisa ficar recriando métodos pois já tem uma classe nativa do PHP que é o PDO.

[Web.Developer 9]

Sim, sim não manjo nada em PDO

[Web.Developer 9]

eu fazendo uma conexão com database em PDO ele já bloqueia Ant injection ?

[srmacedo 66]

O que seria PDO?

PDO é a sigla para PHP Data Object. 

 

O que pode se fazer com PDO?

Através dessa classe é possível fazer uma conexão com o banco de dados de forma segura.

 

Antes quando tínhamos apenas o método 'mysql_' para se conectar com um banco de dados, era possível uma pessoa sem conhecimento em invasão, está invadindo o seu banco de dados com facilidade, pois muita das vezes os programadores não sabiam tratar essas falhas da melhor forma possível.

 

Agora esse cenário é um pouco diferente. A classe PDO já tem métodos próprios para tratar os valores das variáveis antes de atribuir os valores a consulta, podendo se prevenir das INJEÇÕES DE SQL.

 

Para saber mais informações sobre como utilizar, veja o artigo.

 

 

[Web.Developer 9]

15 minutos atrás, srmacedo disse:

O que seria PDO?

PDO é a sigla para PHP Data Object. 

 

O que pode se fazer com PDO?

Através dessa classe é possível fazer uma conexão com o banco de dados de forma segura.

 

Antes quando tínhamos apenas o método 'mysql_' para se conectar com um banco de dados, era possível uma pessoa sem conhecimento em invasão, está invadindo o seu banco de dados com facilidade, pois muita das vezes os programadores não sabiam tratar essas falhas da melhor forma possível.

 

Agora esse cenário é um pouco diferente. A classe PDO já tem métodos próprios para tratar os valores das variáveis antes de atribuir os valores a consulta, podendo se prevenir das INJEÇÕES DE SQL.

 

Para saber mais informações sobre como utilizar, veja o artigo.

 

 

Sim mais eu usando Conexao PDO vou ter que deixar o meu sistema inteiro em PDO? sou iniciante em PHP Mysql

 

[srmacedo 66]

2 minutos atrás, emersondesigner disse:

Sim mais eu usando Conexao PDO vou ter que deixar o meu sistema inteiro em PDO?

De fato sim. Quando você tem um sistema 'sustentável', com poucas modificações você consegue alterar muito sem modificar em vários lugares.
Agora se você usa mysql, boa sorte na refatoração. Ou você pode continuar usando as funções de 'ant sql' e viver com a insegurança de um problema adormecido...

[Web.Developer 9]

14 minutos atrás, srmacedo disse:

De fato sim. Quando você tem um sistema 'sustentável', com poucas modificações você consegue alterar muito sem modificar em vários lugares.
Agora se você usa mysql, boa sorte na refatoração. Ou você pode continuar usando as funções de 'ant sql' e viver com a insegurança de um problema adormecido...

Sim, eu tenho sistema inteiro em Mysql_query tem algum site que ensine fazer um insert, update etc.. pdo sou iniciante em PHP só sei mexer Mysql_query

[srmacedo 66]

4 horas atrás, emersondesigner disse:

Sim, eu tenho sistema inteiro em Mysql_query tem algum site que ensine fazer um insert, update etc.. pdo sou iniciante em PHP só sei mexer Mysql_query

No google tem vários... bons estudos! 

[Web.Developer 9]

Sim, estou vendo video aula