Reikia apsaugot GET

Kaip apsaugot get nuo injekciju su tokiu parametru /failas.php?countrycode=LT noriu kad tik saliu kodai eitu. O gal tiesiog su kokiu substring sutrumpinti, kad tik du simbolius leistu? :rolleyes:

$countrycode = $_GET['countrycode'];

https://gist.github.com/vxnick/380904 - pasiimi array su visais country code ir tikrini ar atitinka query var nurodytas country code:

$country = (isset($_GET['countrycode'])) ? $_GET['countrycode'] : "";
if  (in_array($country, $country_codes)) {
   // salies kodas teisingas 
}

Kiek supratau nori apsisaugot nuo xss?

Stai

function tikrinam($input) {

 

$input = htmlspecialchars($input);

 

$search = array('|','\'','$','\\','^','%','`',"\0","\x00","\x1A");

 

$replace = array('|',''','$','\','^','%','`','','','');

 

$input = str_replace($search, $replace, $input);

 

$input = stripslashes(trim($input));

 

$input = mysql_real_escape_string($input);

 

return $input;

 

}

 

$countrycode = isset($_GET['countrycode']) ? check($_GET['countrycode']) : '';

$countrycode = isset($_POST['countrycode']) ? check($_POST['countrycode']) : '';

 

Vietoj

$input = mysql_real_escape_string($input);

Geriau būtų naudot $input = mysqli_real_escape_string($input);

arba: http://php.net/manual/en/pdo.quote.php

Nes $input = mysql_real_escape_string($input); jau deprecated yra ir neatitinka normų.

Aciu labai, abu varijantai tinka :)