Делюсь лучшей защитой от SQL-инъекций, 100% защита

В качестве защиты от инъекций многие рекомендуют контроль типов данных перед записью в базу данных, отсев множественных запросов и т.д. Это абсолютно необязательно. Во-первых, MySQL не выполняет никаких множественных запросов функцией mysql_query(). Это заблуждение. phpMyAdmin сам разбивает запросы на несколько. Правило должно быть такое. Все названия полей писать в косых кавычках (`), все данные, даже числовые, писать в одинарных кавычках ('). Сами запросы в php вписывать в двойные кавычки ("). А защита от инъекций пишется в начале общего файла, типа include_all.php:

foreach ($_GET as $k=>&$v)
	if ((strpos($k, '_SERVER') === false) && (strpos($k, '_SESSION') === false))
	{
		$v = str_replace("'", "", $v);
		$$k = $v;
	}

foreach ($_POST as $k=>&$v)
	if ((strpos($k, '_SERVER') === false) && (strpos($k, '_SESSION') === false))
	{
		$v = str_replace("'", "", $v);
		$$k = $v;
	}

foreach ($_COOKIE as $k=>&$v)
	if ((strpos($k, '_SERVER') === false) && (strpos($k, '_SESSION') === false))
	{
		$v = str_replace("'", "", $v);
		$$k = $v;
	}
unset($v);

Конструкция Unset($v) обязательна, т.к. php сохраняет ссылку на переменную и после цикла. И если мы потом напишем $v=1;, то последняя переменная, например, $_COOKIE['user'] станет равна единице.

Конструкция $$k=$v создает переменные, например, из $_COOKIE['user'] создаст $user.

Конструкция if ((strpos($k, '_SERVER') === false) && (strpos($k, '_SESSION') === false)) предотвращает подстановку ложных значений при использовании $$k=$v.

При использовании этой вставки сайт взломать НЕВОЗМОЖНО!

Источник:

http://proksey-net.livejournal.com/942.html

Если понравилось, голосуйте в ЖЖ