Безопасный код © Александр Швец neochief@drupal.pro

SQL инъекция

$result = db_query('
SELECT *
FROM users
WHERE id = '" + $userID

$result = db_query('
SELECT *
FROM users
WHERE id = 5;DROP TABLE users;
');

Неправильно

$result = db_query('
SELECT *
FROM users
WHERE id = '" + $userID +

Правильно

$result = db_query('
SELECT *
FROM users
WHERE id = %d
‘, $userID);

Cross-site scripting (XSS)
Основная проблема — кража пользовательских cookies, с помощью которых

Как крадутся cookie

Уязвимость в реальной жизни
$output =
‘’. $title .’’;

Неправильно
$output =
‘’. $title .’’;

Правильно
$output =
‘’. check_plain($title) .’’;

Еще лучше
$output = l($title, $url);

Фильтрация ввода — лечение от XSS

check_plain()
check_markup()
ckeck_url()
t()
filter_xss_admin()

Подделка межсайтовых запросов (CSRF)

Быстро удалить документ

А что если?

Лечение CSRF

Управляющий код должен выполняться только в обработчиках форм, либо с