-1

Alguém sabe como ficaria essa função no PHP 7?

function AntiSqlInjection($dados){       
     if (!get_magic_quotes_gpc){
       addslashes($dados);
     }       

     $dados= strip_tags($dados);          
       $dados= preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables)/"),'', $dados);  
       return $dados;      
}//end

$usuario= AntiSqlInjection($usuario);
$senha= AntiSqlInjection($senha);
4
  • Obsoleto: sql_regcase 1/03/2018 às 16:40
  • Não há necessidade de criar um antSqljection para versões mais novas do php você pode apenas utilizar uma conexão PDO que alem de tudo é muito mais fácil de se configurar caso depois queira mudar o tipo de Banco de dados 1/03/2018 às 16:45
  • Procure sempre utilizar as extensões do PDO ou MySQLi que fazem o tratamento dos dados a serem processados pelas queries através dos Prepared Statements: w3schools.com/php/php_mysql_prepared_statements.asp
    – user98628
    1/03/2018 às 16:53
  • Em pleno php7 você usando essa função que nem funciona direito a melhor opção é utilizar prepared statements.
    – rray
    1/03/2018 às 17:21

2 Respostas 2

2

O sql_regcase ficou obsoleto a bastante tempo, você pode tentar usar como alternativa os:

Claro que vai ter que adaptar o código e ler a documentação de como usar, não basta trocar, no entanto se tratando de MySql e que você esta querendo fazer é um anti-injection eu realmente recomendo que ao invés de fazer tudo isso simplesmente use as funções prontas das APIs novas que já existem

Provavelmente você esta usando a API antiga ainda que as funções tem como prefixo isto mysql_, se estiver difícil de ajustar os códigos para as apis mais modernas como PDO ou MYSQLi então use simplesmenete:

  • mysql_real_escape (que óbviamente esta obsoleta também pois faz parte da API antiga pois começa com mysql_)

Deve ficar assim:

$usuario= mysql_real_escape($usuario);
$senha= mysql_real_escape($senha);

No entanto é altamente recomendável que mude seus códigos o quanto antes possível para PDO ou para MYSQLI, pois as funções com prefixo mysql_ já não funcionam nas versões mais recentes do PHP (php 7+) e por isto mais cedo ou mais tarde precisará migrar para um servidor com php7 (se por acaso seu servidor usa PHP5), recomendo que leia:

Se for usar a API mysqli um exemplo simples para evitar a injeção é usar mysqli_real_escape_string, exemplo:

<?php
$link = mysqli_connect("localhost", "usuario", "senha", "banco");

if (mysqli_connect_errno()) {
    printf("Conexão falhou: %s\n", mysqli_connect_error());
    exit;
}

$usuario = mysqli_real_escape_string($link, $_POST['usuario']);
$senha = mysqli_real_escape_string($link, $_POST['senha']);

if (mysqli_query($link, "SELECT * FROM usuarios WHERE login='$login' AND senha='$senha')")) {
    ... resto do código aqui
}

mysqli_close($link);

Ou pode preferir prepared statments do qual não precisará escapar as strings:

<?php
$link = mysqli_connect("localhost", "usuario", "senha", "banco");

/* check connection */
if (mysqli_connect_errno()) {
    printf("Conexão falhou: %s\n", mysqli_connect_error());
    exit;
}

/* Prepara uma instrução */
if ($stmt = mysqli_prepare($link, "SELECT * FROM usuarios WHERE login=? and senha=?")) {

    /* bind parameters for markers */
    mysqli_stmt_bind_param($stmt, "s", $usuario);
    mysqli_stmt_bind_param($stmt, "s", $senha);

    /* executa a query */
    mysqli_stmt_execute($stmt);

    ... resto do código aqui ...

    /* fecha o statement */
    mysqli_stmt_close($stmt);
}

/* fecha a conexão */
mysqli_close($link);
1

está é uma função que foi deprecated (ficou obsoleta) há muitos anos mas você pode gerar algo generico

function my_Sql_regcase($str){

    $res = "";

    $chars = str_split($str);
    foreach($chars as $char){
        if(preg_match("/[A-Za-z]/", $char)){
             $res .= "[".mb_strtoupper($char, 'UTF-8').mb_strtolower($char, 'UTF-8')."]";
        }else{
            $res .= $char;
        }
     }

     return $res;
}

Pode utilizar a função da seguinte forma

$dados= preg_replace(my_Sql_regcase("/(from|select|insert|delete|where|drop table|show tables)/"),'', $dados);
5
  • Oi, com essa consigo adicionar as palavras que quero restringir, como select|insert|where ? como ficaria?
    – Neo
    1/03/2018 às 16:52
  • Alterei a resposta 1/03/2018 às 16:56
  • valeu, vou ver como fica
    – Neo
    1/03/2018 às 16:59
  • Coloquei mas não foi assim
    – Neo
    1/03/2018 às 17:35
  • quando adiciono no campo assim: $usuario= $dados($usuario); não pega no 7
    – Neo
    1/03/2018 às 17:37

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .