безопасна сериализованная строка формы

Question

Я использую полные запросы ajax на своем мини-сетевом сайте. всякий раз, когда я хочу предоставить какой-либо ввод, например, введенный пользователем текст, вместе с некоторыми важными идентификаторами, я помещаю их в форму и использую «.serialize», чтобы сделать его в виде строки, и отправляю его через «.getJSON» или «.post». в получающем файле php 'parse_str' используется, чтобы сделать их отдельными переменными. Безопасен ли весь этот процесс? У меня не было никакой другой лучшей идеи. Поэтому, пожалуйста, ответьте относительно этого

Answer 1

Нет, это не безопасно.

Например, сериализованная строка для формы пароля может иметь формат «username = hello & password = world», т.е. строка сериализованной формы все еще находится в виде простого текста и может быть перехвачена в пакетах.

Обязательно получите сертификат SSL и используйте HTTPS для любой аутентификации пользователя.

Answer 2

Проблема с безопасностью в пользовательском контенте заключается в том, что он может содержать код, который, если его не экранировать должным образом, может вызвать проблемы. Если вы отправляете информацию на сервер MySQL, вы должны использовать mysql_real_escape_string.

http://php.net/manual/en/function.mysql-real-escape-string.php