Printable View
[PHP]<?php
include("../config.php");
$result = mysql_query("SELECT * FROM comments");
while($r=mysql_fetch_array($result))
{
$id =$r["id"];
$text =$r["text"];
echo "
<p>$text</p> //daroone fielde text ye code html hast ke agar html bod neshon nade
";
}
?>[/PHP]
حالا این تابع ها رو کجاش وارد کنم؟؟ ( این کد من هستش ) :13:
توی این که شما نوشتی اصلاً نمیشه SQL Injection انجام داد چون این بخش نمایش هست
شما باید توی بخش گرفتن اطلاعات و ثبتشون این کار رو بکنی
البته اگر می خوای همین کار رو بکنی باید به جای:
[PHP]$text[/PHP]
بنویسی:
[PHP]htmlspecialchars($text, ENT_QUOTES)[/PHP]
خوب در ثبت کجاش وارد کنم؟
تشکر//
در ثبت مثلاً داری:
[PHP]mysql_query("INSERT INTO table (id, text) VALUES (NULL, $TEXT)");[/PHP]
باید به این تغییرش بدی:
[PHP]mysql_query("INSERT INTO table (id, text) VALUES (NULL, ".mysql_real_escape_string(htmlspecialchars($T EXT, ENT_QUOTES)).")");[/PHP]
که هم جلوی SQL Injection رو بگیری و هم جلوی XSS رو
سلام
این کد اصلا دیگه ثبت نمیکنه چیزی رو که میخوام یه متن ساده بدن کد html رئ ثبت نمیکنه
کد ثبت من اینه :
[PHP]
<?php
} else {
$dl = $_GET['dl'];
$name = $_POST['name'];
$email = $_POST['email'];
$text = $_POST['text'];
$website = $_POST['website'];
$code = $_POST['code'];
mysql_query("INSERT INTO comments (name,email,text,website,code ) VALUES ('$name','$email','$text','$website','$dl')");
echo"<p><a algin='center' >Thanks For Your Comment</p></a>";
}
?>
[/PHP]
چیکارش کنم؟</div>
توی کدهایی که مسیح داد کاراکترهای خاص استفاده شده توی تگهای html تبدیل میشن به معادل html اونا که دیگه خاصیت ساختن المنتهای html ندارن مثلا < تبدیل میشه به >
ولی اگه میخوای کلاً هیچ تگی وارد دیتابیس نشه میتونی متن مورد نظرت رو قبل از ورود به دیتابیس با استفاده از تابع strip_tags تصفیه کن تا همه تگهای موجود توی اون حذف بشه
اینم آدرس توضیحات این تابع توی منوال php که نکته پیچیده ای هم نداره:
فقط بعد از تصفیه کردن تگها نکات امنیتی رو فراموش نکن. همون چیزایی که مسیح تو پستهای قبلی نوشت اگه درست استفاده کنی کافیهکد:http://ir2.php.net/manual/en/function.strip-tags.php
من که کلی قاطی کردم
اگر میشه به زبان شیرین فارسی منو کمک کنید خیلی مهمه
چیکار کنم که html وارد بانک نشه یا هرچیز مخرب؟!
تشکر//
شما یه چیزی رو مشخص کن
نمیخوای اصلاً هیچ تگ html ی وارد دیتابیس بشه
یا نه
میخوای کاربرها هرچی خواستن بنویسن ولی برای صفحه شما مشکلی پیش نیاره و کدهاشون قابلین اجرا شدن نداشته باشه؟
سلام
در بانک ثبت نشه هم رازی هستم ولی حالا اگر اونجور هم بگید مشکلی ندارم که نمایش داده نشه
تشکر//
سلام
از همگی عذر میخوام من تو یه جایی اشتباه میکردم هم در ثبت هم در نمایش
حالا اگر بخوام کاری کنم که کد های html در صورت تشخیص در بانک ثبت نشه و یه عکل دیگه صورت بگیره باید چه کنم؟