2008年11月18日 星期二

跟資料隱碼很像的東西 (SQL-injection)

很老套的題目,但依然要持續注意才是。
你可能會說:「把php的Magic-Quote打開不就得了?」

如果只注意這個,那就大錯特錯了。
我舉一個平常容易忽略的項目:

  • 內部資料轉移:當資料從A table複製到B table時,記得加上addslashes

  • 編解碼的時候:有時候因為方便,可能會將資料代到前端HTML裡,再post回server。如果是以base64帶到前端,請記得,在base64解開的時候,要加上addslashes

  • 使用框架(framework)的時候:之前在寫漫畫邦時,使用CodeIgniter,那時檢查過Magic Quotes發現沒問題,就很安心的接收了所有post的資料,後來竟然發現,所有的post資料因為某些因素,全部都被stripslashes了。


大概就這幾項吧!有心得我就再增加!