Этот модуль достаточно защищает сайт от XSS и SQL injection?

Question

[Николай]

На сервер передаются только строки или числа.
Естественно PDO в помощь.

Class CheckPost {
	public static function check() {
		foreach($_POST as $key => $value) 
		{
			unset($_POST[$key]);
			$key = mysql_escape_string( htmlspecialchars( strip_tags($key)));
			
			switch(gettype($value)) 
			{
				case 'integer':
					$_POST[$key] = intval($value);
					break;
				case 'string':
					$_POST[$key] = mysql_escape_string( htmlspecialchars( strip_tags($value)));
					break;
			}

			if (is_null($value) || $value == '' || empty($value)) {
				unset($_POST[$key]);
			}
		}
	}
}

Comments

[Stalker_RED]

if (is_null($value) || $value == '' || empty($value)) {}

всё это можно заменить на
if (empty($value)) - empty() проверяет и на равенство пустой строку и на null.
НО, если вы попытаетесь передать параметр равный нулю, эта проверка удалит и его. Вас устраивает такое поведение?

[Николай]

Stalker_RED: да, вполне)

[Николай]

спасибо)@Stalker_RED: спасибо)

[Finesse]

Чтобы ответить на вопрос, не хватает самого SQL запроса

[Николай]

Finesse: Запросы выглядят так:

Class CountBeforeUser {
private $_query = 'SELECT registration_id FROM queue
INNER JOIN users USING ( user_id )
WHERE queue_id = ? AND reg_time < SOME(
SELECT reg_time FROM users
WHERE code = ?
)';
private $_data = array();
private $_pdo;

public function __construct($pdo) {
$this->_pdo = $pdo;
}

public function get($queue_id) {
$this->_data[0] = $queue_id;
$this->_data[1] = $_POST['user_code'];
return $this->execute();
}

private function execute() {
$queue = $this->_pdo->prepare($this->_query);
$queue->execute($this->_data);
return $queue->rowCount();
}
}

Answer 1

[ThunderCat]

первое и главное - mysql_escape_string - деприкэйтед. Не говоря уже о том что не гарантирует защиту. Для этого есть PDO и prepared statements. При использовани препаред - инжекшн практически исключен.

Что должно попасть в кей, что должно остаться в валуе? текст, спецсимволы? Создайте правила, например используйте регулярки.

$keyPreg = "/[A-Za-z0-9]+/";
$key = preg_match($keyPreg, $key);

Comments

[Николай]

в скрипте иногда может подставляться ключ, а в валуе должен остаться только текст.

[Николай]

или число, без продолжения той же sql injection