Формы и безопасность

[ArtemPitov]

Алоха, Господа

 

Вопрос по безопасности, как правильно обезопасить отправку формы которая будет записываться в бд и отправляться на почту 

 

У меня такая логика 

Отправка Аяшкой

1) Сначала вальвация и обработка ошибок 

2) Прогоняем через функцию очистки и только тогда отправка и запись в бд

 

Верно я мыслю или еще что-то нужно учесть ? 

 

Заранее спасибо !

[Vladzimir]

Например SCRF-токен.

[pantagruel964]

Лучше всего подготовленные данные

[ArtemPitov]

Лучше всего подготовленные данные

немного не понял о чем Вы

[ArtemPitov]

Например SCRF-токен.

Для регистрированного пользователя актуально, а для просто прохожего который заполняет форму, вовсе нет, или я не прав ? 

[pantagruel964]

немного не понял о чем Вы

PDO

[halfhope]

В OpenCart этого за глаза хватит:

• проверка формы на ошибки
• использовать явное преобразование типов, например, (int)$value
• использовать экранирование $this->db->escape($value);
• для остального, например, email есть встроенные функции php и регулярки(не рекомендую). А так же классы, которые предназначены для этого.

Змінено 14 травня 2016 користувачем halfhope

[ArtemPitov]

 

В OpenCart этого за глаза хватит:

• проверка формы на ошибки
• использовать явное преобразование типов, например, (int)$value
• использовать экранирование $this->db->escape($value);
• для остального, например, email есть регулярки и встроенные функции php

 

спасибо за ответ, принципи я так и думал 

 

Вот меня ошарашил фронтовский контроллер в одной  из тем

$run_query = $this->db->query("INSERT INTO `" . DB_PREFIX . "subscription` (customer_email, customer_name, date_created, language_id, store_id) VALUES ('".$_POST['semail']."', '".$_POST['sname']."', NOW(), '".$_POST['language_id']."', '".$_POST['store_id']."')");

[halfhope]

 

спасибо за ответ, принципи я так и думал 

 

Вот меня ошарашил фронтовский контроллер в одной  из тем

$run_query = $this->db->query("INSERT INTO `" . DB_PREFIX . "subscription` (customer_email, customer_name, date_created, language_id, store_id) VALUES ('".$_POST['semail']."', '".$_POST['sname']."', NOW(), '".$_POST['language_id']."', '".$_POST['store_id']."')");

 

Явная SQL inj

[ArtemPitov]

PDO

а смысл для модуля подключать PDO ?

Если я чего-то не улавливаю, объясните, буду только рад прочитать полезную информацию  

[ArtemPitov]

Явная SQL inj

сам прикол - это платная тема с не малыми продажами  :cry:

[halfhope]

сам прикол - это платная тема с не малыми продажами  :cry:

 

К автору тогда, а то у меня работы будет много  :ugeek:

[ArtemPitov]

К автору тогда, а то у меня работы будет много  :ugeek:

ну как есть ) 

[pantagruel964]

а смысл для модуля подключать PDO ?

Если я чего-то не улавливаю, объясните, буду только рад прочитать полезную информацию  

не было ни слова о модуле, спрашивали о безопастности. PDO закрывает кучу проблемных мест

Змінено 15 травня 2016 користувачем pantagruel964

[ArtemPitov]

 А так же классы, которые предназначены для этого.

 

За это отдельно спасибо, функционал бомба просто !