PHP sqlinjections vermeiden

[tolio]

jo ich bin zZ wieder nen bischen mit PHP am basteln und da wollte ich mal fragen ob folgende Methode reicht um angriffe mit "falschen" eingaben zu verhindern:

PHP Code:

function noSpecialChars($input)
{
    if (preg_match('/[^a-zA-Z0-9]+/', $input, $matches)) {
        return false;
    }else {
        return true;
    }
} 


jede eingabe wird neben isset auch hier durchgejagt und es wird nur der eigendliche code ausgeführt wenn bei alle sachen true rauskommt, reicht das?

[Masterakio1995]

Sollte eigentlich reichen.

[InstantBlood]

Naja, ich empfehle dir in deinen Querys den mysql_real_escape_string() Tag zu benutzen.

[tolio]

da aber sonderzeichen in den eingaben eh nicht benötigt werden hab ich mich gegen die escape string methode entschieden und mache es direkt über regex, naja mir ist auch nichts eingefallen wie man dran vorbei kommen könnte, ich denke es reicht so ^^

[Sedrika]

Das reicht vollkommen, wenn du wirklich bei jeder eingabe "a-z A-Z 0-9" zu lassen willst.

[Gotoxy]

Eine Injection wäre ja schon

PHP Code:

$QUERY_STRING = "' OR 1"; 


Daher sollte tolios script das schoneinmal abdecken da es dem "standart" script sehr änhlich ist und daher auch gehen sollte

[NotEnoughForYou]

oder einfach gleich pdo und prepared statements nutzen

[MrSm!th]

Ähm, ich kann mich täuschen, aber die Funktion gibt doch auch true zurück, wenn zwar Sonderzeichen enthalten sind, aber auch mindestens ein normales. Immerhin müsste preg_match dann ja trotzdem den akzeptierten Teil matchen.

Es gibt doch in RegExps auch Metazeichen, die Anfang und Ende eines Strings symbolisieren. Die würde ich an Anfang und Ende platzieren, damit eben nur akzeptierte Zeichen und weder etwas davor noch etwas dahinter im String sind.

[tolio]

die funktion gibt false zurück wenn etwas gefunden wurde was nicht a-zA-Z0-9 ist; ^ ist negierung

[MrSm!th]

Oh völlig übersehen.