Re: [GENERAL-BG] problem s edna funkcijka

Georgi Chorbadzhiyski wrote:
> Бележки не по конкретният проблем, а по-скоро по стила и други грешки.

Което ме кара още повече да си мисля дали не е добра идеята Жоро Чорбаджийски,
да изнесе една лекция по писане на сигурни скриптове.

> Viktor Popov wrote:
> 
>>az sam novak , zapochnah da se zanimavam s php predi sedmica. V momenta sam
>>v zastoj i ne moga da si obiasnia kakvo stava pri izpalnenieto na edna
>>funkcia. Nadiavam se, che shte mojete da mi pomognete....
>>
>>Tova e chast ot stranica register.php , koiato razrabotvam. Izvarshva se
>>validacia, pri natiskaneto na submit button se  izvikva sashtia php fail
>>register.php. Eto i php scripta v neia:
>>
>><?php
>>include "script/functions.php";
>>require 'script/common.inc';
> 
> 
> Винаги използвай .php разширение за скриптовете си. Не залитай по разни
> .inc .txt или .boza. Сървърът не ги счита за PHP скриптове и ако някой
> ги поиска, ще му ги изпрати. Едва ли искаш да ти вземат паролата за
> базата данни по този начин.

Разбира се ако е достатъчно умен, няма да постави файла в пространството
видимо от Уеб :)
> 
>>$valid = TRUE;
> 
> 
> По подразбиране е хубаво да е false :) Така ако изпуснеш някоя проверка
> все пак няма да позволиш неправилна регистрация.
> 

Тъй вярно! ;)

>>if (isset ($_POST['submit'])) {
>>    foreach($_POST as $key=>$value) {
>>      $$key = $value;
>>    }
> 
> 
> Регистрираш глобални променливи, което е напълно излишно замърсяване
> на глобалният namespace, отделно по-късно ще се наложи да пишеш за
> всяка от тях някакъв код, вместо просто да си направиш итерация върху
> масивчето.

Ако все пак иска, може да погледне функцията extract(), която е доста полезна
и спестява писане на код.

> 
>>    $valid = $fn = checkLength($fname, 2, 50);
>>    $ln = checkLength($family, 2, 50);
>>    $valid = $valid && $ln;
>> $cm = checkLength($company,0,50);
>> $valid = $valid && $cm;
>> $ml = checkLength($MOL,0,50);
>> $valid = $valid && $ml;
>> $dnum = checkLength($dannum,0,12);
>> $valid = $valid && $dnum;
>> $bst = checkLength($bulstat,0,12);
>> $valid = $valid && $bst;
>> $phn = checkLength($phone,3,20);
>> $valid = $valid && $phn;
>>    $em = checkEmail($email);
>>    $valid = $valid && $em;
>> $usr = checkLength($username,4,10);
>> $valid = $valid && $usr;
>>    $ps = checkLength($password,4,16);
>>    $valid = $valid && $ps;
>> $ps2 = checkLength($password2,4,16);
>>    $valid = $valid && $ps2;
>>    $ps2 = $password == $password2;
>>    $valid = $valid && $ps2;
>> $adr = checkLength($Addr,3,70);
>> $valid = $valid && $adr;
>> $cty = checkLength($City,2,50);
>> $valid = $valid && $cty;
>>    $zp = checkLength($zipcode,2,10);
>>    $valid = $valid && $zp;
> 
> 
> Много лесно може да стане грешка с тези игри, който играеш
> около $valid. Защо просто не изредиш всички условия в един
> 
>   if (x && y && z)
>     $valid = true;
> 
> 
>>    if ($valid) {
>>//-----------------------------------------CHECK
>>THIS-------------------------------
>>              doReg($fname,$family,$company, $MOL, $dannum, $bulstat,
>>$phone, $email, $username, $password, $payment, $maillist, $Addr, $City,
>>$zipcode,$Country, $shippingName, $shippingFamily, $shippingphone,
>>$shippingAddr,
>>$shippingcity, $shippingzipcode, $shippingCountry);
> 
> 
> Ето тук масивчето за което говорих в началото би било удобно.
> 

Аз бих препоръчал един обект от клас stdClass, може да се итерира както
масивите :). Такъв обект е доста близък до struct в C.

>>  exit;
>>
>>           }
>>} else {
>>    $fn = $ln = $cm = $ml = $dnum = $bst = $phn = $em = $usr = $ps = $ps2 =
>>$adr = $cty = $zp = TRUE;
>>    $fname = $family = $company = $MOL = $dannum = $bulstat = $phone =
>>$email = $username = $password = $password2 = $Addr = $City = $zipcode = '';
>>}
>>
>>?>
>>
>>Funkciata doReg se namira v faila functions.php. Tq bi triabvalo da
>>insert-va v tablica "users", no ne go pravi. i ne moga da razbera zashto.
>>Kogato opitah na nejno miasto da izpolzvam  mysql_pconnect(...) i
>>mysql_db_query(...) vsichko se poluchi. Eto i deklaraciata na doReg() vav
>>functions.php:
>>
>>function doReg($fname1="",$family1="",$company1="", $MOL1="", $dannum1="",
>>$bulstat1="", $phone1="", $email1="", $username1="", $password1="",
>>$payment1="", $maillist1="", $Addr1="", $City1="", $zipcode1="",
>>$Country1="", $shippingName1="", $shippingFamily1="", $shippingphone1="",
>>$shippingAddr1="", $shippingcity1="", $shippingzipcode1="",
>>$shippingCountry1="")
> 
> 
> Защо ги инициализираш? Така ги правиш незадъ;жите;ни за подаване към функцията.
> Като гледам колко са на брой, такова объркване може да стане кой, кой е по ред,
> че да се блъскаш 2 часа с някоя дребна грешка.
>
Тук примерно обект е по-удобен :)

>>{
>>
>>  mysql_pconnect ($DB_SERVER, $DB_LOGIN, $DB_PASSWORD);
>>
>>
>>  mysql_db_query($DB, "insert into users(name,family,company, MOL, taxnum,
>>bulstat, phone, email, username, password, payment, maillist, Addr, City,
>>zipcode, Country, shippingName, shippingFamily, shippingphone, shippingAddr,
>>shippingcity, shippingzipcode, shippingCountry)
>>values('$fname1','$family1','$company1', '$MOL1', '$dannum1', '$bulstat1',
>>'$phone1', '$email1', '$username1', '$password1', '$payment1', '$maillist1',
>>'$Addr1', '$City1', '$zipcode1',
>>'$Country1','$shippingName1','$shippingFamily1',
>>'$shippingphone1','$shippingAddr1', '$shippingcity1', '$shippingzipcode1',
>>'$shippingCountry1')");
> 
> 
> Ух, ох :-( Класически SQL Injection. Не прави така. Всеки параметър, който подаваш
> към базата данни трябва да бъде проверен и изчистен от "лошите" символи. Виж
> 
> addslashes()
> mysql_escape() ???

http://bg2.php.net/manual/en/function.mysql-escape-string.php
Аз лично не бих препоръчал addslashes(), когато се работи с MySQL, тъй като
ext/mysql си има функция за това.

> и като цяло поразгледай разултатите от http://www.google.com/search?hl=bg&q=sql+injection
> 
> http://www.php.net/manual/en/security.php
> http://www.securiteam.com/securityreviews/5DP0N1P76E.html
> 
> Не разчитай magic_quotes_gpc да работят. Те не са начина да си сигурен че в
> подадените данни няма кофти работи.

Магическите кавички са злина :)

> 
>>}
>>
>>Mojete li da mi kajete zashto ne moje da zaraboti?
> 
> 

Поздрави,
Андрей