Hi,
das scriptslashes() mach ich halt nur, wenn die GPC_magic_quotes (oder so ähnlich) gesetzt ist. Das sorgt dafür, dass alle GET, POST und REQUEST Variablen schon mal escaped werden.
Bisschen Off-Topic:
Der Grund, warum ich Benutzerdaten wirklich unverfälscht haben will, ist wie von dir vorgeschlagen zum Beispiel bei Passwörtern. Wenn ich diese durch meine skein768()-Methode durchlasse (oder halt sha1(), aber auf keinen Fall md5(), da das nicht mehr sicher ist!) dann will ich den Hash des exakten Passworts.
Beispiel: Ich ändere per phpmyadmin das Passwort eines Users auf seinen Wunsch auf "asd'123". Man beachte das Hochkomma... Wenn ich das nun so eintrage, wird der String wie gewünscht gehasht (nachdem ich den Salt manuell hinzugefügt habe) und in der Datenbank gespeichert. Stell dir vor, es ist nun das GPC-Quotes eingeschaltet. Benutzer geht zu Login, gibt das richtige Passwort ein und kommt trotzdem nicht rein. Warum? Weil die Prüfsumme über den String "asd\'123" gebildet wird und das natürlich dann nicht passt.
Back to topic:
Grundsätzlich werden alle Daten, die direkt oder indirekt vom Benutzer kommen mit htmlspecialchars() gefiltert / entschärft, bevor ich diese auf der Seite ausgebe. Ob es nun ein String, eine Zahl oder sonst was ist ist mir relativ egal. Wenn du den String nun aber durch eine Funktion wie md5(), sha1() oder intval() durchlässt, dann kann nichts gefährliches rauskommen, ergo geb ich diese Ergebnisse dann direkt aus.
Genauso wenn ich die Daten in der Datenbank speichere (hier verwende ich halt mysql_real_escape_string()). Die Daten stehen dann 1:1 komplett unverändert in der Datenbank. Somit muss ich halt wieder meinem Mantra folgen, dass ich alles was ich auf der Seite dynamisch ausgebe durch htmlspecialchars() lasse.
Gruß
BK
// Edit: Habe mir für genau diesen Zweck eine kleine Tools-Klasse geschrieben, hier mal die für dich interessanten Teile:
PHP:
<?php
abstract class Tools {
public static function rSafeOutput($array, $encoding='UTF-8') {
foreach($array as $key => $val) {
$array[$key] = self::safeOutput($val, $encoding);
}
return $array;
}
public static function safeOutput($string, $encoding='UTF-8') {
return htmlspecialchars($string, ENT_QUOTES, $encoding);
}
public static function rSafeDatabase($array) {
foreach($array as $key => $val) {
$array[$key] = self::safeDatabase($val);
}
return $array;
}
public static function safeDatabase($string) {
$erg = @mysql_real_escape_string($string);
if($erg === FALSE) {
trigger_error('No database connection available, using deprecated mysql_escape_string()', E_USER_WARNING);
return @mysql_escape_string($string);
} else {
return $erg;
}
}
}
if(get_magic_quotes_gpc()) {
function stripArray(&$arr) {
if(!is_array($arr)) return;
foreach($arr as $key => $val) {
$arr[$key] = stripslashes($val);
}
}
stripArray($_GET);
stripArray($_POST);
stripArray($_COOKIE);
}
?>
