ユーザ入力を確認してmysql注入を防止する方法は何ですか？

Question

「私たちはユーザーの入力を信用してはいけません」これは私がウェブ上のどこかから読んだものです。

現在、私はウェブフォームを持っており、ユーザー名とメールアドレスを入力しています。ユーザ名フィールドの場合、mysqlの注入を制御、チェック、防止する方法は？現在、私のPHPスクリプトに私はこれだけの操作を行います。（それが何であるかを覚えて、私はそれを見つけたカントができませんでした

$username = mysql_real_escape_string($_POST['username']); // prevent mysql injection 

を私は、いくつかのチュートリアルを見てmysql_real_escape_stringの関数の前に、彼らはなど、にhtmlentities、などの他の機能が含まれます今、一息）

mysql_real_escape_stringの前に、いわゆる "htmlentities"関数を含める必要がありますか？

通常、ユーザーの入力データの確認に使用する方法は何ですか？

屋ああ、いくつかの他の機能：私はそれらを

stripslashes(); 
serialize(); 
urlencode(); 

を含める必要がありますか？

Answer 1

あなたのデータをデータベースに入れている限り、正しいことです。 SQLインジェクション攻撃から保護されています。

htmlentities()およびhtmlspecialchars()は、SQLインジェクション攻撃とは関係ありません。彼らはXSSの攻撃に関連しています。これはあなたが調べなければならない全体的なトピックであり、ユーザーの入力をウェブに戻して表示している場合は関連する問題です。

Answer 2

@chaosは

権利であるあなたも、あなた

Answer 3

ためPARAMATERSをエスケープしますPDOのようにあなたはまた、（私はのためのパラメータ化クエリと同等だと思うprepared statementsを使用して見て可能性があり、データベース抽象化レイヤを使用することができます言ったようにSQL Server）を使用すると、攻撃対象がさらに減少します。