[PHP/(My)SQL] voor dummies - Deel 34

Om SQL injection te voorkomen, doe ik

$ID=settype($id,"int");

zodat alles dat geen nummer is, eruit wordt gefilterd. $id is de variabele die in de functie wordt ingevoerd (geen userinput, maar als ik het mezelf zo kan aanleren, kan het vast geen kwaad). $id gaat er nu al 46329 in en komt er al 1 uit. Da's natuurlijk niet de bedoeling. Waar ligt dat aan, en hoe fix it het?

edit: nevermind, php.net niet goed gelezen

[ Bericht 8% gewijzigd door wonderer op 07-11-2006 16:22:48 ]

Ik ben op dit moment bezig om een serie functies te schrijven die mij gaan helpen om op een hele makkelijke manier formulieren te maken, controleren/valideren en verwerken.
Nu kun je op google een heleboel achtergrond informatie vinden maar de meeste teksten zijn nogal basis en verklappen hier en daar en klein intressant detail, maar 90-95% van alle informatie weet ik al.
Heeft er iemand een écht goeie tutorial die precies aangeeft welke functies belangrijk zijn om je form te valideren?

En wat ik ook graag wil weten, hoe kun je het beste controleren of een formulier ook écht door jou webserver is verstuurd? Met spoofing kunnen ze een hoop headers veranderen las ik ergens dus dat is niet echt wat ik zoek. Is een random value aanmaken in een hidden input en die controleren met een session een veilige en goede methode?

Andere hints en tips zijn ook welkom.

Ohja, ik weet dat er een dergelijk systeem al bestaat in PEAR maar dat is heel erg uitgebreid en ik heb er even naar gekeken maar ik snap ook niet echt goed hoe die alles hebben gedaan. Ik doe het liever zelf, dat ik er ondertussen nog van leer ook.

Het belangrijkste is dus voor mij, hoe maak ik mijn formulieren veiliger?

Het belangrijkste voor jou is: hoe maak je de verwerking van de gegevens uit de formulieren veiliger.

Yup dat klopt beter, en is metteen een leuke samenvatting van dat hele verhaal.

Het verhaal
Er was eens een tabel met daarin 1,1 miljoen achternamen. Bijvoorbeeld 'Janssen' en 'van der Laan'. Nu wordt er gezocht met een query:



Op deze manier worden dus de achternamen 'Janssen' en 'van der Laan' gevonden. Deze tabel doorzoeken met slechts 100 (oid) records er in gaat goed en snel, maar 1.1 miljoen is toch een ander verhaal.

Doordat er een % voor het zoekwoord geplaatst wordt, kan MySQL de index op het Achternaam-veld niet gebruiken, omdat niet duidelijk is waarmee het te zoeken woord begint (% betekend 0 of meer willekeurige tekens). Dit eerste % teken weglaten



zou 'Janssen' wel vinden maar 'van der Laan' niet, omdat de achternaam niet met 'Laan' begint.

Oke oplossen met een full-text index zou kunnen, maar helaas kan/mag/whatever ik deze niet gebruiken.

Andere manier dus
Ik heb twee tabellen gemaakt:



Ik splits de achternamen op: 'Janssen' blijft 'Janssen' en 'van der Laan' wordt opgedeeld in 3 stukken: 'van' 'der' en 'Laan'.

Deze deelnamen worden in de AchternaamDeel tabel opgeslagen, en in de AchternaamDeelLink tabel worden de deelnamen gelinkt met Achternaam_ID, die verwijst naar de Achternamen tabel waar de achternaam in oorspronkelijke vorm is opgeslagen.

We zoeken hierin met:


(Met de score bereken ik welke het meest overeenkomt met de zoektermen)

Damn! dat werkt tegenover de andere manier retesnel (13 sec tegenover > 1 minuut)! Maar toch niet snel genoeg... Ik wil bijvoorbeeld per pagina slechts 10 achternamen afbeelden, maar een LIMIT is niet in de subquery te plaatsen omdat MySQL (5) dan klaagt dat die functie niet geimplementeerd is. Deze limit moet dus bij de buitenste query, wat betekend dat voor de subquery wel alle resultaten worden opgehaald.

Ik heb verder de benodigde indexen aangemaakt, maar zoals hieronder uit de EXPLAIN van MySQL blijkt, wordt er nogsteeds een trage filesort gebruikt.



Iemand een idee hoe ik dit verder kan optimaliseren? (Of pak ik het verkeerd aan?)

quote:

Op dinsdag 7 november 2006 19:05 schreef splendor het volgende:

En wat ik ook graag wil weten, hoe kun je het beste controleren of een formulier ook écht door jou webserver is verstuurd? Met spoofing kunnen ze een hoop headers veranderen las ik ergens dus dat is niet echt wat ik zoek. Is een random value aanmaken in een hidden input en die controleren met een session een veilige en goede methode?

Volgens mij bestaat er geen waterdicht methode om dat te controleren. Maar als je alles goed controleert is dat niet echt een issue.

Overigens heb je sinds php 5.2 Input filtering. Misschien kan je inspiratie opdoen door daar eens een kijkje naar te nemen.

quote:

Op vrijdag 3 november 2006 23:36 schreef Chandler het volgende:
Weet iemand een goed script dat excel sheets kan uitlezen in php, ik heb er wat gevonden maar ze konden allemaal (behalve hele dure) niet overweg met &#tekens...

Weet iemand een goed script? google had veel maar helaas niet wat ik zocht (gratis , of ongv 10 euro oid)

Nu ben ik zelf even opzoek gegaan en heb aardig informatie gevonden over excel com. En met wat voorbeelden heb ik het volgende gemaakt.
[ code verwijderd ]

echter als ik het bestand uitlees krijg ik nog steeds vage teksten! wat is de inhoud dan zou je je afvragen!?

Rij A - Nederlandse tekst (arial)
Rij C - Thaise tekens (Angsana New)
Rij E - Engelse tekst (arial)

Maar als ik het uitlees krijg ik het volgende te zien.

[afbeelding]

Oftewel ik lees iets niet goed uit, volgens mij moet ik ergens nog kunnen instellen welk karakterset ik wil gebruiken... maar dat kan ik dus niet vinden liefst zou ik gewoon alle teksten van een cel in &# codes willen hebben maar goed.

Dit moet de uitkomst zijn ongv.

[afbeelding]

Iemand een idee

quote:

Op woensdag 8 november 2006 08:03 schreef Chandler het volgende:

[..]

Iemand een idee

Daar zal iets fout gaan met encoding of de charset of iets dergelijks. Waarschijnlijk krijg je unicode binnen uit excel. Stuur je wel de goede headers? Gebruik je htmlspecialchars()?

quote:

Op dinsdag 7 november 2006 19:05 schreef splendor het volgende:

En wat ik ook graag wil weten, hoe kun je het beste controleren of een formulier ook écht door jou webserver is verstuurd? Met spoofing kunnen ze een hoop headers veranderen las ik ergens dus dat is niet echt wat ik zoek. Is een random value aanmaken in een hidden input en die controleren met een session een veilige en goede methode?

Dat is min of meer het idee achter een captcha.
Ik genereer een unieke code. Die unieke code plaats ik in een sessie en op beeld als een image. De gebruiker moet vervolgens de code die op het beeld staat overtikken als hij het formulier invult. Alsna de submit ($_POST['captcha'] != $_SESSION['captcha']) { die('spammert');}

me php boek is opgestuurd
ben benieuwd

quote:

Op woensdag 8 november 2006 09:25 schreef mschol het volgende:
me php boek is opgestuurd
ben benieuwd

Welk boek?

quote:

Op woensdag 8 november 2006 08:19 schreef SuperRembo het volgende:

[..]

Daar zal iets fout gaan met encoding of de charset of iets dergelijks. Waarschijnlijk krijg je unicode binnen uit excel. Stuur je wel de goede headers? Gebruik je htmlspecialchars()?

Sr, htmlspecialchars werkt helaas niet... krijg dezelfde output. en goede headers stuur ik inderdaad niet. Heb namelijk geen idee welke ik moet sturen die zowel gewone karakters als thaise karakters ondersteunen...

quote:

Op woensdag 8 november 2006 09:29 schreef Swetsenegger het volgende:

[..]

Welk boek?

deze

quote:

Op dinsdag 7 november 2006 20:31 schreef GVRuud het volgende:
heel verhaal

Je kunt natuurlijk ook de manier gebruiken die veel officiele instanties gebruiken
achternaam, tussenvoegsels

als in

Laan, van der
Jansen

Het wordt iets moeilijker om bijv 'van der Laan' te zoeken (dit zul je met php om moeten bouwen) maar verder denk ik dat het een goed alternatief is.

Kleine vraag, ben nu bezig met een MYSQL class. Dit omdat bepaalde zaken gemakkelijker kunnen in php scripts. Echter wil ik deze class ook binnen andere functies in het globale script gebruiken. Nu moet ik echter voor ieder functie $mysql (de gestarte class) meegeven. Is er ook een andere manier zodat ik niet voor iedere lokale functie $mysql hoef mee te geven?

Tnx..

vb.


testA werkt niet, testB wel.... somebody?

Je kunt $GLOBALS['mysql'] gebruiken, of in elke functie 'global $mysql;' zetten, om de globale variabele aan te spreken.

Andere tip:
Je kunt mysql->connect() beter als constructor maken. Mocht je dat niet kennen, Constructors zijn functies die automatisch aangeroepen worden als een object gemaakt wordt

wanneer je nu $x=new MySQL; doet, zal __construct() aageroepen worden (bij <php 5 heeft de constructor de naam van het object zelf (in dit geval 'function MySQL()' ). Scheelt weer een regel.

@ralfie.. ah, ik had er wel wat overgehoord maar had de klepel nog niet zien hangen Die construct is inderdaad erg handig! maar dacht dat $GLOBALS nogal vies was om mee te coden of mag dat tegenwoordig wel weer

Maaruh nog iets over die construct! Indien je die gebruikt voor bv connecten, dan moet je toch alle gegevens continue in het script zelf hardcoden (username/pass/etc!?) En dat wil ik dus buiten deze class houden

[ Bericht 24% gewijzigd door Chandler op 08-11-2006 15:15:42 ]

quote:

Op woensdag 8 november 2006 14:53 schreef Chandler het volgende:
@ralfie.. ah, ik had er wel wat overgehoord maar had de klepel nog niet zien hangen Die construct is inderdaad erg handig! maar dacht dat $GLOBALS nogal vies was om mee te coden of mag dat tegenwoordig wel weer

Maaruh nog iets over die construct! Indien je die gebruikt voor bv connecten, dan moet je toch alle gegevens continue in het script zelf hardcoden (username/pass/etc!?) En dat wil ik dus buiten deze class houden

$GLOBALS schijnt beter te zijn zelfs als een variabele global declareerd, omdat er dan opnieuw iets gedeclareert wordt en $GLOBALS al bestaat. Andere methoden om globalen aan te spreken ken ik niet.

De mysql_connect() was ter voorbeeld, je kunt hem ook zonder argumenten aanroepen zoals jij deed in je code

quote:

Op woensdag 8 november 2006 14:15 schreef ralfie het volgende:

Andere tip:
Je kunt mysql->connect() beter als constructor maken. Mocht je dat niet kennen, Constructors zijn functies die automatisch aangeroepen worden als een object gemaakt wordt
[ code verwijderd ]

wanneer je nu $x=new MySQL; doet, zal __construct() aageroepen worden (bij <php 5 heeft de constructor de naam van het object zelf (in dit geval 'function MySQL()' ). Scheelt weer een regel.

Niet helemaal mee eens. Als je een class mysql maakt dan zou die voor verschillende projecten bruikbaar moeten zijn. En dat beperk je weer als je in de class zelf usernames en passwords enzo gaat zetten. Maar een constructor is natuurlijk ook een functie en kan ook parameters accepteren. Als je daar dingen voor username en password bjizet kun je die doorgeven naar de connect functie en kun je wel je configuratie centraal houden.

Correct, al heb ik amper ooit meerdere databases moeten gebruiken maar goed . Daarvoor is het inderdaad handiger om de username ed in een appart bestand/variabel(en) te houden

Hallo! Ik heb een vraagje.

Het is simpel om random iets uit een database te poepen met RAND(), maar wat nou als ik dat uit 3 verschillende databases tabellen wil doen? Dus:

- 'text' ophalen uit tabel 'bla'
- 'titel' ophalen uit tabel 'bla2'
- 'nogiets' ophalen uit tabel 'bla3'

Met RAND() maak ik dat ik uit tabel 'bla' random 'text' pak en dat in $text zet. Maar ik wil dus dat hij dat random doet uit alle tabellen.

Ik zat te denken om drie queries uit te voeren, dat in een array of string te gooien, en dan een ander scriptje gebruiken om daar weer van te kiezen. Maar dat leek mij heel omslachtig, ik denk tenminste dat dat handiger kan. Dit bevorderd ook niet eens de snelheid.

Het idee is namelijk dat ik een radiostream op Internet heb, en dat ik daar iedere 20 seconden met een cronjobje de titel van wil veranderen (de ene keer een nieuwstitel, de andere keer het weerbericht, weer de andere keer wat er op dat moment speelt).

Alvast bedankt voor tips/voorbeelden!

Een klein vraagje:

ik heb een dropdownbox:



die gevuld wordt met waardes uit een tabel

Vervolgens kan je er een kiezen en deze door POST toevoegen in een ander tabel. Probleem is echter als er een waarde in zit waar een spatie in zit zoals "Albert Hein" dan wordt alleen "Albert" opgeslagen in de tabel. Hoe krijg ik dit opgelost ? anyone ?

quote:

Op donderdag 9 november 2006 05:51 schreef RiderXXX het volgende:
Het is simpel om random iets uit een database te poepen met RAND(), maar wat nou als ik dat uit 3 verschillende databases tabellen wil doen?

Je kunt dat op dezelfde manier doen als je joinet:

Als de tabellen niet aan elkaar gerelateerd zijn kun je met subqueries werken.

Zoals ik in een aantal posts geleden opmerkte, MySQL werkt niet optimaal met ORDER BY RAND(). Als je heel veel records hebt kunnen de queries langzamer gaan werken, heb je er niet zo heel veel dan maakt het niets uit.

quote:

Op donderdag 9 november 2006 12:58 schreef Xtr3mE het volgende:
Een klein vraagje:

ik heb een dropdownbox:
[ code verwijderd ]

die gevuld wordt met waardes uit een tabel

Vervolgens kan je er een kiezen en deze door POST toevoegen in een ander tabel. Probleem is echter als er een waarde in zit waar een spatie in zit zoals "Albert Hein" dan wordt alleen "Albert" opgeslagen in de tabel. Hoe krijg ik dit opgelost ? anyone ?

In (X)HTML moet je altijd de waarden van attributen omgeven door aanhalingstekens. Dus like that:

De htmlentities() is er om dingen als aanhalings naar & quot; om te zetten e.d.

thx voor je reply volgens mij heb je de code nog aangepast want eerst kreeg ik een foutmelding
maar nu wel oke

quote:

Op woensdag 8 november 2006 08:47 schreef Swetsenegger het volgende:

[..]

Dat is min of meer het idee achter een captcha.
Ik genereer een unieke code. Die unieke code plaats ik in een sessie en op beeld als een image. De gebruiker moet vervolgens de code die op het beeld staat overtikken als hij het formulier invult. Alsna de submit ($_POST['captcha'] != $_SESSION['captcha']) { die('spammert');}

Zo'n image verification script heb ik al eens gemaakt, dat is hetzelfde toch?
Maar om dat nu in elk formulier in te bouwen zie ik niet zitten. Ik ben bijvoorbeeld ook met een spelletje bezig en om in te loggen wil ik het gaan gebruiken maar zeker niet in het spel zelf.

wipes66 ook bedankt, goeie link is dat. Al ben ik wel bezig het met classes (OO) op te lossen, lijkt me toch net ff fijner werken, zeker met foutmeldingen.

Mocht er nog iemand anders ideeën hebben dan post gerust, ik blijf het topic volgen.

ik wil een array maken in een array op deze manier:

$array["dit"]["dat"] = "blaat";

maar dat werkt niet?

hoe moet ik het schrijven?


[edit]
even dollartekentje dr voor gezet

quote:

Op donderdag 9 november 2006 15:19 schreef Desdinova het volgende:
ik wil een array maken in een array op deze manier:

array["dit"]["dat"] = "blaat";

maar dat werkt niet?

hoe moet ik het schrijven?

Zelf doe ik zoiets met een sessie:

$_SESSION['giftwrap'][$value]=$_POST[$value]

Dat werkt prima

kan dit niet in een gewone variabele dan?

quote:

Op donderdag 9 november 2006 15:24 schreef Desdinova het volgende:
kan dit niet in een gewone variabele dan?

Lijkt me wel
heb je hier wat aan: http://onaje.com/php/article.php4/44