Tekstvelden beveiligen

Door Daan Vee op 23-01-2016 16:39

1.653 views

Hoe kun je met php je database beveiligen tegen mensen die in velden het volgende teken invullen: '

Waardoor dan vervolgens de volgende error ontstaat:
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version......

Zelf dacht ik dat dit de oplossing was, maar niet dus:


<?php
'".$_POST['naam']."'
?>

Ariën

23-01-2016 16:43

Bij de standaard MySQLi is het mysqli_real_escape_string($con,$_POST['naam'])
Als je MySQLi-OO gebruikt (met -> ) dan is het $con->escape_string($_POST['naam'])

En de verouderde MySQL is het mysql_real_escape_string($_POST['naam'])

Ben van Velzen

23-01-2016 16:43

De oplossing is om je waarden te escapen. Zie bijvoorbeeld http://php.net/manual/en/mysqli.real-escape-string.php
Dit moet je overigens altijd gebruiken, dus ik vind het vreemd dat je nu pas tegen dit "probleem" aanloopt.

Thomas van den Heuvel

23-01-2016 21:04

En ook bij het weergeven zou je je output moeten escapen met behulp van htmlspecialchars(). Anders kan men HTML en/of JavaScript injecteren in je website.

Reageren

Inloggen om te reageren