osetrenie vstupov a DB

Ahojte, chcem sa spytat ci musim osetrovat data pri vybere z DB. Pri ukladani do DB ich osetrujem cez tuto metodu:



staci ich osetrit len pri ukladani do DB alebo aj pri vybere/vypise?

Niektorí odporúčajú kontrolovať aj vtedy, aj vtedy, ale imho je to overkill. Pokiaľ máš pod kontrolou celú aplikáciu (teda sa nemôže stať, že by prišiel neošetrený input), tak je blbosť to ošetrovať 10x... Len zbytočné spomalenie.

Len by som asi upozornil, že tá funkcia, ktorú používaš, ti pomôže len proti sql injection. Nezabrániš ňou vloženiu javascriptu a podobne... Má to zmysel pri mysql_ funkciách, ale dnes by som odporúčal používať už minimálne mysqli alebo rovno PDO, a hlavne prepared statements. V takom prípade by si na mysql_real_escape_string mohol zabudnúť úplne...

diky

// pridané po 5 hodinách 17 minútach od posledného príspevku

Vlozenie javascriptu ? Ten javascript neprejde cez htmlspecialchars() alebo sa mylim ?

Jasné, ale v tej funkcii čo si ukázal to neošetruješ Preto som to spomenul..

no pri vypise pouzivam htmlspecialchars();
+ povolujem <b>, <i>,<img> atd pre formatovanie textu
tak vdaka este raz

<strong> <em> ? používanejšie tie nepovoľuješ?

To by som práve odporúčal použiť už pri vkladaní do DB, nie až pri výpise... Predsalen tie dáta vkladáš len raz, vypisuješ ich ale pre každého užívateľa a pri každom kliknutí.... Pri výpise by to malo zmysel vtedy, ak by si neovládal všetky vstupy a mohlo by sa stať, že sa ti do db dostali neošetrené dáta.

DeiForm: Strong = b em=i takze je to uplne jedno vlastne...

walther: no asi to prerobim este porozmyslam...

ja viem ale tak napísal si že povoľuješ len <b> neviem ako to máš ošetrené