Внедрение скрипта - проверка формы (jquery)

Question

Я использую несколько форм на своем сайте для отправки данных в MySQL.

Каков наилучший способ / способ проверки моей формы, если я не хочу, чтобы пользователи отправляли какой-либо сценарий в базу данных через мои формы?

Answer 1

Забудьте о jQuery. Вы не можете использовать что-либо запущенное на клиенте для обеспечения безопасности - клиент всегда может переопределить это.

Вам необходимо разобраться с данными на сервере. См. Как я могу предотвратить SQL-инъекцию в PHP? для защиты вашей базы данных и Каковы наилучшие методы предотвращения атак xss на PHP-сайте для защиты ваших страниц.

Answer 2

Чтобы предотвратить внедрение SQL, используйте подготовленные операторы . Чтобы предотвратить внедрение HTML, проверьте функции htmlspecialchars, htmlentities, strip_tags и filter , или используйте Сторонняя библиотека для удаления всех тегов и атрибутов, кроме белого.

Answer 3

Является ли это когда-либо загруженным вопросом ... и охватывает больше, чем может уместиться в одном ответе.

Если вам нужно задать вопрос в общих выражениях, которые вы задали, я настоятельно рекомендую найти наставника, который поможет вам, поскольку это не та тема, которую вы действительно хотите изучать на практике.

Было задано несколько похожих вопросов, и я настоятельно рекомендую вам найти их и прочитать. Кроме того, поищите несколько качественных сообщений в блоге об этом и / или сообществе, посвященном конкретному продукту, который похож на тот, который вы создаете, чтобы увидеть, как они это сделали.

Несколько советов:

• Я заметил тег jquery ... Проверка JavaScript должна быть второй вещью, на которую вы смотрите, и более того, как средство обеспечения немедленной обратной связи для пользователя. Поскольку он может быть отключен на стороне клиента, вы не можете рассчитывать на какую-либо проверку JavaScript.
• Строго проверять типы данных на сервере. Если вам нужно вернуть номер, убедитесь, что это действительно число. Если это один из нескольких вариантов, отметьте и примите только доступные варианты.
• Не просто принимать данные из элемента управления формы - даже если это поле выбора или скрытое поле. Люди будут разыгрывать глупые ошибки с вашими данными формы, и вы просто не можете рассчитывать на то, что вы вернете.