Estou estudando um pouco mais a fundo o PHP e em questão de segurança no PHP tenho utilizado o anti_injection padrão encontrado na internet afora e utilizado por muitos
function anti_injection($sql){
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"), "" ,$sql); // remove palavras que contenham sintaxe sql
$sql = trim($sql); // limpa espaços vazios
$sql = strip_tags($sql); // tira tags html e php
$sql = addslashes($sql); // adiciona barras invertidas a um string
return $sql;
}
Mas ao fazer uns testes em sistema de login, eu utilizei um anti_injection na senha e depois fui convertê-la em MD5 para fazer verificação no banco de dados, minha senha cadastrada no banco de dados não estava me dando acesso no sistema, quando pensei em algo: minha senha tinha * (asterisco) e no preg_replace() o anti_injection retira os asteriscos
Minha pergunta é: necessita colocar anti_injection em uma senha, sendo que ela passará por MD5 antes de ser comparada no query
$senha = $_POST['senha'];
$senha_md5 = md5($senha);
$query = "SELECT * FROM usuarios WHERE login = '$usuario' AND senha = '$senha_md5' AND status = '1'";
Deveria usar o anti_injection mas retirar o * (asterisco) do preg_replace ou não necessita usar o anti_injection??
mysqli_real_escape_string
, ou melhor que isso, você pode fazer uma query preparada, e passar os valores por bind. Update: achei uma terceira menção aqui: pt.stackoverflow.com/questions/74081