Лучше на код.
Тут один из наших постоянных посетителей занимался рефакторингом переписыванием одного из ссамых популярных сайтов рунета.  Который был структурным.

По-моему, прежде чем крыть крышу, нужно построить фундамент.  

Это я к тому, что прежде чем заниматься авторизацией, надо выучить язык и разобраться с общепринятыми шаблонами проектирования.

подскажите мне пожалуйста вот на таком примере. У меня есть форма: 


Скажите, когда данные этой формы отправятся по нажатию кнопки "зарегистрировать" в обработчик addNewUser.php, какие проверки этих данных нужно выполнить, чтобы предотвратить возможность взлома? Спасибо.

preg_match, htmlspecialchar и mysql_real_escape_string

Spiker, этого достаточно?

yngwie19,
рассказываю по шагам.
Во-первых, на многих хостингах включены волшебные слэши.
Т.е. строка "привет" превращается в \"привет\"
что бы избежать этого, нужно либо отключить эту опцию, либо пропускать все принимаемые данные, через функцию 
 
Кроме того, некоторые поля нужно пропускать при приеме через функцию trim, которая удаляет пробелы в начале и в конце.

preg_match позволяет проверить на правильность емейл, url, да и любые другие поля на соответствие правильному шаблону.


Через mysql_real_escape_string обязательно нужно пропустить все данные (ну почти все), которые попадут потом в sql запрос.

Пароль в БД лучше вообще не писать, а записать md5-hesh.

Насчет htmlspecialchar не знаю. По-моему, ее нужно применять, когда в БД вносятся текстовые комментарии.
Впринципе и другие данные можно через нее пропустить. Но вопрос это спорный.


К безопасности из приведенного списка относится только mysql_real_escape_string и в некоторой степени md5-хешь для пароля
 


Это сообщение отредактировал(а) NLspieler - 7.2.2010, 09:15

нет, назначение функции - форматировать специальные символы, применяемые в хтмл в соответствующие сущности. то есть её надо применять для вывода текста в браузер. к БД она никакого отношения не имеет

я лично ereg использую, у меня проверка на любой тип поля есть... как то не охота все переписовать))

т.е так:

и все?

Добавлено через 5 минут и 15 секунд

а если проверять вводимые данные по такому шаблону:

то тогда Вам вариант можно пропустить?

Это сообщение отредактировал(а) yngwie19 - 7.2.2010, 17:09

Да, этого достаточно. 
Но нужно еще и при попытке пользователя войти на сайт, сравнивать не пароль, а его md5.


md5($string) всегда равен md5($string)  не зависимо от значения $string. 
Но получить из md5 хеша исходное значение практически не возвомжно.

Таким образом мы получаем следующие плюсы: 
1) никто не сможет узнать пароль пользователя, даже имея в распоряжении базу данных.
2) md хэш всегда имеет одинаковую длинну, таким образом можно экономить место в БД, прописав в соответствующее поле эту длинну.




И зря. ereg мало того, что работает значительно медленние, так еще и не может обработать такие мощные регулярные выражения, которые допустимы в preg.
А переписать несколько регулярных выражений особого труда не составит.



Если данные принимаются из формы с лишними (волшебными слэшами), то избавлятся от них нужно в обязательном порядке.


Разумется, никакого отношения к БД она не имеет, но в ряде случаев она просто не заменима.
Можно конечно записывать в БД данные как есть, а можно записать в БД уже обработанные данные, готовые к выводу.
Таким образом достигнется небольшая экономия мощностей процессора. Так как данные нужно будет пропускать через эту функцию только один раз.

 А иногда незаменимы другие функции. Но как и эта, они не относятся к теме. Совсем.

 Если у вас простая геста и больше, чем к выводу в html эти данные не нужны - то да.

 А теперь расскажите, какие ;) При том условии, что структура данной ф-ии примитивна и оверхед не будет замечен.

ктото пробовал делать следущее?

Такое вряд-ли кто-то взломает... до тех пор пока хакер не в курсе сколько раз все было зашифровано.

Это сообщение отредактировал(а) Spiker - 7.2.2010, 23:59

Spiker, и зачем? лучше использовать соль и все

Spiker, тогда уж так:

     

Добавлено через 1 минуту и 2 секунды
P.S. может хватить страдать ерундой? если уж такие параноики то следует написать свой алгоритм хеширования и радоваться жизни