sql injection'dan korunma ?

Merhaba arkadaşlar,

Son zamanlarda epey sıkıntı çekmekteyim. Sizler bu durumdan nasıl korunuyorsunuz uyguladığınız yöntemler nedir yardımcı olursanız çok sevinirim.

Ben 1. olarak mysql_real_escape_string()
2. olarak addslashes();
3. olarak

function sql_injection($parametre){
        $girilen = array("*","/"," ","'","-","or","OR","`","and","<",">","refresh","location","\n");
        $dogrusu = array("","","","","","","","","","","","","","<br>");

        $dogrusuyla_degistir = str_replace($girilen,$dogrusu,$parametre);
        return $dogrusuyla_degistir;
    }

fonksiyonum var fakat her seferinde yine giriyorlar db'ye yine giriyorlar.

sql inj olduğuna emin misin ? veya he rşeyi süzdüğüne emin misin ? ve pdo neden kullanmıyorsun

htmlspecialchars($data, ENT_QUOTES, 'utf-8'); ve bunun üstüne mysql_real_escape_string kullanmanız durumu çözebilir. Bu durumda verileri tekrar okurken, htmlspecialchars_decode ile geri dönüşüm yapmanız gerekiyor. Tabi bu yöntemlerin tam olarak güvenir olduğu söylenemiyor ne yazık ki. PHP'nin de önerdiği üzere güvenli sorgu ve işlemler için PDO'ya yönelmenizde yarar var.

Replace işlemleri ile veriyi analiz edip, değiştirebilirsin ama bu kısmen olur. Çünkü kimin nasıl bir betik yazacağını bilemezsin. Tamamen önlem aldım diye düşünürken de, yanıldığın olabilir. html etiketlerden kurtulmak için, strip_tags kullanabilirsin. ID değerlerine göre işlem yapıyorsan mutlaka bu değeri intval() veya is_numeric gibi fonksiyonlardan geçirip numerik bir değer olup olmadığını kontrol edebilirsin. Yukarda fonksiyonlar ile de, biraz daha önlemini katlamış olursun.

PDO ya da Mysqli Kullanın artık bu tarz sorunlar kalmadı