Linux за българи: Форуми

Имам проблем с филтрирането на данни на една форма. По-долу кода е РНР с което правя някаква филтрация на входящите данни. Но не съм го написал много добре, сега като попадне някакъв забранен символ те изхвърля навънка. Бих искал да се заменят "неудобните" знаци с които може да се правят хакерски атаки. Искам така да се промени скрипта така че да заменя хакерските символи и скрипта да те изхвърля по-малко. Имах и проблем с UTF-8, но съм ги решил.

Помогнете ми да направя по-добра филтрация.

GeSHi (PHP):
function utf8_substr($str,$from,$len)
{
      if (mb_strlen($str) > $len)
      {
            return mb_substr($str,$from,$len,'utf-8');
      }
      else
      {
            return $str;
      }
}
 
if (!isset($_POST['des']))
{
      header ("Location: http://www.evitatrade.com/");
      exit;
}
 
$des = trim($_POST['des']);
$des = str_replace("\t", " ", $des);
$des = str_replace("\n", " ", $des);
$des = str_replace("\r", " ", $des);
 
if (empty($des))
{
      header ("Location: http://www.evitatrade.com/");
      exit;
}
 
$des = utf8_substr($des, 0, 1200);
if (!preg_match("#^[\s\-_,’.!?)(0-9A-Za-zА-Яа-я]+$#u", $des)) // !preg_match( "#^[- _0-9a-zа-я]+$#i",    !ereg("^[- _,.!0-9A-Za-zА-Яа-я]+$",
{
      header ("Location: http://www.evitatrade.com/");
      exit;
}

http://www.pe-bg.com/?cid=3&pid=22576

А защо като има проблем с входните данни не извежда съобщение за грешка, а те хвърля в evitatrade.com?

Общо взето се опитваш да решиш проблема от грешния край. "филтрирането" което правиш е напълно излишно. Върпса е към SQL сървъра ти да не минават директно данни преди това винаги (int)$int_val, (float)$float_val ,'"'.addslashes($strdate_val).'"'  или там както е правилно да обработиш стринговете за да са гарантирано ок към сървъра, а наопаки всичкото стринг минава през htmlspecialchasrs () и не се занимаваш с глупости :)

Съгласен съм със sdr с едно изключение - не ползвай add_slashes за "обезопасяване" на данни подавани към SQL сървер. Ползвай съответната функция за съответния SQL сървер:

http://us.php.net/manual/en/function.mysql-real-escape-string.php
http://us2.php.net/manual/en/function.pg-escape-string.php

и т.н.