Sigurnost phpa i mysql

Ovako, htio bi da mi neko kaže u natuknicama što je dovoljno da bi se zaštitile varijable, query-ji, sessioni i fileovi.

i ako neko zna neku fintu za rušenje nezaštićenih skripti (tipoa sql injection) neka podjeli s nama. (ovo ne služi tome da ja nekom rušim skripte ili tako nego onaj ko zna srušit - zna i zaštiti)

pozdrav

Treba ti "eskejpovanje" promenljivih sa http://php.net/mysql_real_escape_string i pravilno handle-ovanje promenljivih, provera tipa, provera ispravnosti (npr. da li je u polju "email" zaista napisana email adresa), i tako to...

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

Takodje valjalo bi da podatke koje su korisnici uneli ne ispisuješ na sajtu u originalnom obliku već ih prvo obradiš sa
htmlentities($text, ENT_QUOTES, 'UTF-8');
Ovim se boriš protiv XSS napada.
Fajlove čuvaš recimo s .htaccess (guglaj) koji postaviš u neki poddirektorijum u kome držiš fajlove koje štitiš.
Uvek inicijalizuj promenljive pre dodavanja ("$a.=" ili "$a[]=").
Tokom razvoja aplikacije uključi error_reporting(E_ALL), a isključi kad je završiš.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

Da bi srušio neki sajt morao bi imaš uvid u njegov kod (može i bez ali mnogo teže) da bi mu našao slabost.
Eskejpovanje (kakav prevod) korisničkih unosa bi trebalo da je dovoljno.
Uploadovane datoteke prvo proveri sa is_uploaded_file() funkcijom pre obrade, kao i njen tip da ti neko ne bi poslao PHP kod koji bi posle izvršio kroz browser.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

fala ljudi, to mi bas treba.

jedno pitanje za mVelikog:
zasto $a.=" ili "$a[]=" ?

Kad dopisuješ nešto na kraj stringa onda to radiš sa $a=$a.'dodatak' ili skraćeno $a.='dodatak', slično je i sa nizovima ($a[]='dodatak') ili numeričkim vrednostima ($a+=15).
Elem, ako je na serveru uključen register_globals i neko ti prosledi kroz GET promenljivu $a, a ti je nisi inicijalizovao pre obrade (sa $a='';) imaćeš veselu situaciju.

Potpis

_{"The quieter you become, the more you are able to hear."}
Blog | PowerCMS

Evo jedne simpaticne funkcije koja mnogo pomaze

Potpis

Vedran Martinovic
www.besplatnioglasi.rs

Ček, ček, dakle svaki SQL iskaz koji pošaljemo serveru bi trebalo da prođe kroz ovu funkciju? Ili bar onaj SQL koji sadrži unete parametre od strane korisnika?

Potpis

Bolje 100 godina biti milioner nego nedelju dana siromašak
(c) Alan ford