کدهای مقابله با حملات امنیتی برای زبان PHP

Question

تکنیک های لازم برای جلوگیری از حملات امنیتی (Cross Site Scripting، SQL Injection و ...) در برنامه های PHP چیست؟

Answer 1

دوست عزیز یکی از راهها استفاده از تابع زیر برای چک کردن ورودیهای $_GET و $_Post است.

<?php
function mysql_prep($value)
{
    if(get_magic_quotes_gpc()){ 
        $value = stripslashes($value); 
    } else {
        $value = addslashes($value); 
    } 
    return $value;
}
?>

و نحوه استفاده :

<?php

$name=mysql_prep($_GET['name']);

?>

البته این راه فقط برای بخش برنامه نویسی است و باید فایروالهای و موارد امنیتی تحت سرور نیز در نظر گرفته شود

Answer 2

همیشه اطلاعات ورودی و خروجی به پایگاه داده رو با تابع mysql_real_escape_string این تابع برای جلوگیری نفوذ از طریق url طراحی شده است .