- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
function mysql_prep($value)
{
if(get_magic_quotes_gpc()){
$value = stripslashes($value);
} else {
$value = addslashes($value);
}
return $value;
}-
PHP / Говнокод #3625
+161
"Heres a hassle free function to use to check your query string and before its handed to the db. It will add/remove slashes according to the get_magic_quotes_gpc state"
http://lt.php.net/manual/en/function.addslashes.phpЗапостил:
Cyanide,
02 Июля 2010
Follow us!
господи, спасибо тебе за CallableStatement, например
к слову, одно только addslashes не защитит надежно от иньекций. Гораздо надежнее mysql_real_escape_string, но и это даже не 100% защита.
mysql_query('SELECT * FROM table WHERE id=' . mysql_real_escape_string($_GET['id']));
Вроде бы всё хорошо, но кавычек нет, поэтому их не надо закрывать, чтобы сделать иньекцию. А извратиться без кавычек очень даже можно.
А вообще, немного тупой пример, ибо id - это число, надо делать intval.