Replikon
В чем опасность кавычек в MySQL запросах?
16 Июн 2010, 13:01Akdmeh
Смотри.
Есть запрос.
$name=$_GET['name'];
mysql_query("SELECT * FROM `table` WHERE `name`='$name'");
теперь в $name подставим
"' UNION DROP TABLE `table`/*"
в результате будет исполнен запрос:
"SELECT * FROM `table` WHERE `name`='$name' UNION DROP TABLE `table`/*'"
понимаешь
Replikon
И еще вопросец, чтобы не создавать новую тему. Я вот обработал сроку сначала htmlspecialchars (), а потом mysql_real_escape_string (). И откуда-то перед кавычками появились 2 слеша. Откуда 2? Должен вроде быть 1.
16 Июн 2010, 14:22wapmorgan
У тебя все входящие данные (гет, пост, куки) автоматически экранируются.
В Htacces напиши php_flag magic_quotes_gpc off
Febian
Replikon, в базе данные должны храниться в том виде, в котором поступают, поэтому сначала юзай mysql_real_escape_string(), a на выходе уже htmlspecialchars()
16 Июн 2010, 17:33