PHP database sikkerhed

Hvorfor skal alle strenge igennem htmlspecialchars inden du smider det i databasen?

Hej!

Fordi alt brugerinput på siden - som er strenge - bliver brugt som output forskellige steder!

Men der er måske en anden/bedre mulighed i den forbindelse - eller noget som jeg ikke har tænkt over!?

Personligt ville jeg nok gemme det originale input (altså, efter sikkerheden for at SQL injection ikke forekommer) og så behandle det på vej ud. Der hvor der er behov for htmlspecialschars() bruger du når du henter det ud fra databasen. Men det er kun en smagssag.

Det er svært at sige hvor du kan 'forbedre' din sikkerhed.
Prøv at komme med et par eksempler på nogle funktioner du har lavet som du mener kunne være kritiske for dit system og vis os dem og hvordan du bruger dem. Så kunne man komme med nogle forslag, idéer og tanker.

Hej!

Det lyder egentlig som en bedre idé først at køre det igennem htmlspecialchars() på vej ud. Det er taget til efterretning :)

Mht. kritiske funktioner forestiller jeg mig ikke, at der er nogen. Som sagt bliver alt mit input kørt igennem mySQLi prepare statements, så mine tanker i den henseende er mere, om der kan være nogle ting som jeg har glemt!?

Jeg kan godt se, at det kan være svært, at nævne noget konkret uden at have en egentlig kode at kigge på, men det er mest for at få "noget at tænke over", at jeg skriver her :)

Umiddelbart kan du ikke gøre meget andet end at benytte dig af prepared statements for at sikre dine data.
Du skal bare altid huske på du aldrig kan stole på dine brugere. Hvis de kan komme til at ødelægge noget, så vil de gøre det. Det er Lesson #1