Ερώτηση για τα SQL Injection!!

[FRANkiller13]

Καλησπέρα σας..

 

SELECT * FROM users WHERE name='known_user' AND pass='' OR '1'='1';

 

$username = addslashes($_POST["username"]);  
$password = addslashes($_POST["password"]);

 

if (!preg_match("/^[0-9]{1,2}$/", $month)) die("Bad month, please re-enter.");

if (!preg_match("/^[0-9]{4}$/", $year)) die("Bad year, please re-enter.");

 

 

Αυτά είναι για προστασία από SQL Injection;

 

Και αν μπορείτε σας παρακαλώ θα ήθελα να μου δώσετε κάποιες παραπάνω πληροφορίες για το πως θα προστατέψω την ιστοσελίδα μου από SQL Injection

 

 

Ευχαριστώ

 

[Uberalles_gr]

mysql_real_escape_string

[nucleus]

Γιατί το κάνεις με συνένωση strings το command text και όχι με parameters?

 

http://dev.mysql.com/doc/connector-net/en/connector-net-tutorials-parameters.html

 

Kαι μιας και είσαι σε php (δεν το πρόσεξα αρχικά)

 

http://www.php.net/manual/en/mysqli-stmt.bind-param.php

[FRANkiller13]

Οκ. Ευχαριστώ θα το κοιτάξω.