mysql_real_escape_string() op alle $_POST
Ik help iemand met het beveiligen van zijn site.. Dit begint dan natuurlijk met SQL injection controleren. Nu bleek dat ongeveer 75% van de querys niet beveiligd is. En gezien dat dat er ongeveer 300 zijn zou ik het leuk vinden als ik het via de config in een keer kon doen.
Het gaat alleen om POST inputs(geen GET).
Weet iemand een manier, en zitten daar nadelen aan?
Alvast bedankt,
stijn.
Code (php)
1
2
3
4
5
6
2
3
4
5
6
<?php
foreach ($_POST as $key => $value)
{
$_POST[$key] = mysql_real_escape_string( trim( $value ) );
}
?>
foreach ($_POST as $key => $value)
{
$_POST[$key] = mysql_real_escape_string( trim( $value ) );
}
?>
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
2
3
4
5
6
7
8
9
10
11
12
13
<?php
if(!get_magic_quotes_gpc())
{
function sql_escape_string($value)
{
$value = is_array($value) ? array_map('sql_escape_string', $value) : mysql_real_escape_string($value);
return $value;
}
$_POST = array_map('sql_escape_string', $_POST);
}
?>
if(!get_magic_quotes_gpc())
{
function sql_escape_string($value)
{
$value = is_array($value) ? array_map('sql_escape_string', $value) : mysql_real_escape_string($value);
return $value;
}
$_POST = array_map('sql_escape_string', $_POST);
}
?>