Eviter les failles XSS et les injections SQL

Marsh Posté le 23-06-2010 à 16:05:24

Bonjour,

Afin de se connecter les utilisateurs entrent un identifiant et un mot de passe.

1 - Lors de la récupération sur la page suivante (de vérification), le code suivant suffit t-il à éviter les failles XSS et les injections SQL ?

Code :

$id = mysql_real_escape_string(htmlentities($_POST['id'], ENT_QUOTES, 'ISO-8859-1'));
$mdp = mysql_real_escape_string(htmlentities($_POST['mdp'], ENT_QUOTES, 'ISO-8859-1'));

2 - Connaissez vous d'autres failles auxquelles je dois faire attention ?

Merci !

Message édité par johnson950 le 23-06-2010 à 16:06:55

Marsh Posté le 23-06-2010 à 16:05:24

Marsh Posté le 23-06-2010 à 16:07:12

htmlentities c'est au moment de l'affichage qui faut le faire

Marsh Posté le 24-06-2010 à 17:02:31

perso, j'utilise strip_tags sur mes entrées de formulaires. Et pour l'authentification, les login/mdp sont stockés en bd sous la forme d'un hash md5. Donc comem je transforme aussi les champ lohin et mdp du formulaire en md5, pas de pb