Является ли запрос безопасным?

Question

[Имя Фамилия]

Является ли такая цепочка безопасной, или необходимо путь в ajax как-то скрыто обрабатывать?
Схема такая:
HTML
<div onclick="goreg(); >REG</div>
JS

function goreg() {
var xhr = new XMLHttpRequest();
var email = document.getElementById("email").value;
var password = document.getElementById("pas").value;
xhr.open("POST", "/modules/reg.php", true);
xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
xhr.send("email=" + email + "&password=" + password);
....

PHP

if(isset($_POST['reg'])) {
...
$db->query("INSERT INTO user (user_email,user_password) VALUES ('$email','$pass')");
...

Comments

[Дмитрий Добрышин]

нет, не является. У вас всё уязвимо в формируемом SQL запросе.

[Имя Фамилия]

Дмитрий Добрышин, перед SQL запросом идет жесткая фильтрация принятых данных, Вы об этом? Сконкретизируйте пожалуйста мысль.

[Дмитрий Добрышин]

User782, лучше делать так:
https://www.php.net/manual/ru/pdo.prepare.php
Это более безопасный способ передачи данных в SQL запрос.
В остальном, если передаёте по https протоколу, то не важно, как будете обрабатывать и передавать данные на сервер.

[Имя Фамилия]

а скрывать стрелку имеет смысл?
xhr.open("POST", "/modules/reg.php", true);

[Алексей Уколов]

В чём вообще смысл этих телодвижений?
Почему у вас какой-то левый div, который нужно сабмитить через js, вместо нормальной формы регистрации?

[Александр Лыкасов]

И про CSRF не забудьте

[Имя Фамилия]

Александр Лыкасов, а достатчно будет сверять куки - хеш юзера в браузере с хешем юзера в базе?

[Александр Лыкасов]

User782, Да, но только не в браузере, а в сессии. Просто не ясно что вы имеете в виду под "в браузере" :)

[Алексей Уколов]

Какой хеш? Зачем хеш? У вас форма регистрации - с каким хешем юзера в базе вы собрались сравнивать?

Answer 1

[DevMan]

почитайте о sql-инъекциях в целом, и как с ними бороться в частности.
все вопросы после этого отпадут.

конкретно предоставленный код потенциально опасен.
а жёсткая фильтрация есть только в ваших словах, а не коде.