SQL -PHP שגיאה

[ש.ב.ח.]

@dovid
אני מתלבט אם אני יכול בכלל להשתמש בprepare

ואסביר:
לצורך עבודה שאמורה להיות מותקנת ע"ג כמה מחשבים ברחבי הארץ, ובכל מחשב אמור להיות נתונים שונים בטבלאות, ולאור שאני מכין את עצמי גם לפעם הבאה שאתבקש לכך.

על כל האמור בניתי סקריפט בphp שעובד באופן הבא:

1. אני אמלא במשתנים בקובץ המקור את שם הdb שיש ליצור וכן את שאילתת יצירת הטבלאות, ועוד כהנה וכהנה.
2. את כל הנתונים שאמורים להשתנות בין התקנה להתקנה אני מכניס בתקייה עם קבצי csv
3. הסקריפט מבקש מהלקוח לבחור בנתונים אותו הוא צריך להכניס בDB.
4. הסקריפט יעבור בין הקבצים ויכניס אותם לטבלה שעונה לשם הקובץ (לא כולל .csv), כמו כן השורה הראשונה מכילה את שמות העמודות בDB אליהם יש להכניס כל עמודה.

בקיצור זה ממש דינמי בין שאילתה לשאילה, זה יכול להיות כמה טבלאות שבכל אחד מס' עמודות שונה...

לא בדקתי אך נראה לי שזה לא מתאים... בפרט שהדברים נעשים אחורי הקלעים ללא קלט מהמשתמש וגם בשלב זה זה על שרת אופליין כך שאין לי חשש להתפרצויות....

תקן אותי אם טעיתי.

[dovid]

@ש-ב-ח אם אתה לא מקבל קלט מהמשתמש הכל בטוח, אבל אני מבין ממך שדוקא כן רק שזה לא ישיר.
אם אכן זה מאוד דינמי ומשתנה אכן אתה חייב לעבוד ולנקות לבד.

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

אבל אני מבין ממך שדוקא כן רק שזה לא ישיר

הקלט שמתקבל מהמשתמש הוא שם הקובץ או שם כולל של כל הקבצים!
כל השאר מתבצע באופן אוטו' על הקובץ.

בהחלט אם הוא יכניס שם קובץ אחר זה יכול לשגע את המערכת, שוב לא מדובר במערכת עבור משתמשים לא מוכַּרים (אם הם ידפקו את עצמם.. שייהנו).

בכל מקרה הוספתי לכל מידע שיעבור דרך הפונקציה הבאה:

function clian_input($data){
	$data = trim($data);
	$data = htmlspecialchars($data);
	$data = stripcslashes($data);
	return $data;

[dovid]

@ש-ב-ח כמובן שזה תלוי באופי ומי המשתמשים אבל זה חור ממש ענק.
עם קצת תחכום אפשר לקבל את המידע במסד.

[ש.ב.ח.]

@dovid
אשמח אם תכוון אותי מה כן עושים ע"מ שזה לא יקרה?
(בהחלט לא רלוונטי לפרויקט זה, אך טוב למידע הכללי ולפרויקטים אחרים בעזרת השם)

[clickone]

@ש-ב-ח

@dovid אמר בSQL -PHP שגיאה:

אתה צריך להשתמש בפרמטרים https://www.php.net/manual/en/mysqli.prepare.php
זה גם חוסך לך את כאב הראש של ניקוי המחרוזת או מה שנקרא escaping שלה, וגם מאבטח אותך.

[ש.ב.ח.]

@clickone

@dovid אמר בSQL -PHP שגיאה:

אם אכן זה מאוד דינמי ומשתנה אכן אתה חייב לעבוד ולנקות לבד.

[dovid]

צריך לנקות את כל ערך שמקורו במשתמש. במקרה שלך שמדובר בקובץ גדול שעובר עיבוד ועל פיו אתה בונה טבלאות, אז אתה צריך בכל ערך שאתה משתיל בפקודת SQL לודאות את "נקיונו".
אני חושב שהפונקציה הזאת https://www.php.net/manual/en/mysqli.real-escape-string.php טובה עבורך.

[ש.ב.ח.]

@dovid
לפי המידע שקראתי שם
הפונקציה עושה את מה שעושים הפונקציות שכתבתי לך קודם ( ()trim() , stripcslashes)
התו היחיד שהפונקציה אותה נתת בודקת יותר מהפונקציות הנ"ל הוא " ' " (גרש בודד).
בכל מקרה ניתן להוסיף אותו לפונקצית ה ()trim כמופיע כאן:
https://www.php.net/manual/en/function.trim.php
ומה שאני עושה אפילו יותר מזה זה הפונקציה ()htmlspecialchars
שמבריחה את כל תגיות הhtml למינהם... כך שאם מישהו ינסה להזריק סקריפט PHP הוא יוברח!

[dovid]

נכון, זה עוד פירצת אבטחה נפוצה בPHP, ששמים קלט משתמש שהגיע למסד ישר בתוך הדף ללא טיהור.
אבל אני לא רואה אפשרות להזריק קוד PHP, אבל קוד HTML יש, וטוב שאתה מנקה.

[clickone]

שימו לב שאפשר להזריק קוד JS, וגרוע מכך JS מקודד

[dovid]

@clickone כן אבל זה בכלל HTML כי לסקריפט חייבים תגית.
אא"כ בטעות הוא עושה echo בתוך תגית אבל זה כבר שלומאליות.

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

אבל אני לא רואה אפשרות להזריק קוד PHP

גם קוד php הוא בתוך תגית...
אם אני אחזיר מהdb מידה שתוכנו הוא קוד php עם תגיות php הקוד יופעל,
מה שאין כן כרגע לאחר הניתוח של הסטרינג התגיות מוחלפות בקוד & lt; או & gt; ...
(ד.א. שמתי לב עכשיו שהפונקציה הזאת מטפלת גם בגרש בודד.)

[dovid]

@ש-ב-ח אמר בSQL -PHP שגיאה:

אם אני אחזיר מהdb מידה שתוכנו הוא קוד php עם תגיות php הקוד יופעל,

זהו שאני אומר שלא. הוא יוצג במסמך.

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

זהו שאני אומר שלא. הוא יוצג במסמך.

גם עם הוא יעלה עם המסמך הוא לא יופעל?
לא בדקתי... אתה יודע בוודאות שהוא רק יוצג ולא יופעל?

[dovid]

@ש-ב-ח איך הוא "יעלה" עם המסמך? אתה לא מתכוון לשמור קבצי PHP על הדיסק נכון?

[ש.ב.ח.]

@dovid אמר בSQL -PHP שגיאה:

@ש-ב-ח איך הוא "יעלה" עם המסמך? אתה לא מתכוון לשמור קבצי PHP על הדיסק נכון?

לא ירדתי לסוף הבנת השאלה.

[dovid]

@ש-ב-ח אל תבין, רק תענה היכי דמי שהוא "יעלה" עם המסמך.
הרי אם אתה כותב

 echo '<php php_info();'

זה יוצג, לא כן?

[ש.ב.ח.]

@dovid

לא חשבתי על זה