【モバイル】携帯電話向け開発について語るスレ

【モバイル】携帯電話 ..

■コピペモード
□スレを通常表示
□オプションモード
□このｽﾚｯﾄﾞのURL
■項目テキスト

321:nobodyさん
 06/09/08 18:33:51 
データベースに渡される数値以外のユーザ入力を データベース固有の文字列エスケープ関数 (mysql_escape_string(), sql_escape_string(), など) でクオートしてください。  
データベース固有の文字列エスケープ機能が利用できない場合、 addslashes() および str_replace()関数が利用できるでしょう。 (データベースの型に依存) 最初の例を参照 してください。 
前期の例が示すように、クエリの静的な部分をクオート するだけでは充分ではなく、簡単にクラックされてしまう可能性があ ります。 
 
ttp://jp2.php.net/manual/ja/security.database.sql-injection.php

322:nobodyさん
 06/09/08 18:41:52 
4.3.0この関数は非推奨となりました。利用しないでください。代わりに mysql_real_escape_string() を利用してください。 
 
http://jp2.php.net/manual/ja/function.mysql-escape-string.php 
 
addslashes does NOT make your input safe for use in a database query! It only escapes according to what PHP defines, 
not what your database driver defines. Any use of this function to escape strings for use in a database 
is likely an error - mysql_real_escape_string, pg_escape_string, etc, should be used depending on your underlying database 
as each database has different escaping requirements. In particular, MySQL wants \n, \r and \x1a escaped which addslashes 
does NOT do. Therefore relying on addslashes is not a good idea at all and may make your code vulnerable to security risks. 
I really don't see what this function is supposed to do. 
 
http://jp2.php.net/manual/ja/function.addslashes.php

次ページ