Bezpečnost stránek

pozor si dej na SQL_Injection a na podvrhnutí <input type="hidden"> .. osobní zkušenost :(

Prosím o OSOBNÍ zkušenosti a rady, jak nejlépe zabezpečit PHP scripty a na co si dát pozor proti hacknutí.
Kontroluj a ošetřuj veškerá data z klientova prohlížeče. POST jde zfalšovat komplet, žádný input k tomu není třeba.

Najaktualnejsia je XSS zranitelnost, takze stripuj tagy z formularov. Dolezite je, ze ak z udaje z formulara hned zobrazujes na HTML stranke, nesmies dovolit prechod tagu <script>.
Viac na phpsecurity.org, kde najdes konkretne priklady.

Reaguji na DoubleThinka:

"POST jde zfalšovat komplet, žádný input k tomu není třeba."

Vím, že je to možné, ale nevím jak, mohl by jsi vysvětlit nebo nahodit odkaz kde je to již řešeno?

Měsíček: do frefoxu existuje rozšíření, které ti dovolí upravit formulář stránky, jde napsat svoji stránku a odeslat dataz ní na tvůj skript...

Měsíček
Ani snad není potřeba toho pluginu, vždyť si formulář s postem můžeš přece udělat sám...do action zadáš cílovou stránku a je to

Měsíček
Podvrhnutím přes hidden input myslíš co? Že ti někdo input přidal nebo že změnil jeho očekávanou hodnotu?

Nox
.. formulář s postem můžeš přece udělat sám ..
Při odesílání stránky s formulářem si do sešny ulož jeho název a při přijetí zkontroluj, jestli jeho název v sešně je - pokud ne, tak ho prostě ignoruj.

Podvrhnutím přes hidden input myslíš co? Že ti někdo input přidal nebo že změnil jeho očekávanou hodnotu?
Změnil.

A netýká se to jenom hidden inputu. Nejde věřit ani selectům, radio a checkboxům.

Měsíček
„Vím, že je to možné, ale nevím jak, mohl by jsi vysvětlit nebo nahodit odkaz kde je to již řešeno?“

Třeba. Už jen přes Javascript si můžu přepsat kompletně celou stránku.

DoubleThink
Ano, proto bych doporučil jednak to ukládání názvů formu do sešny, dále kontrolu toho, zda form obsahuje jen očekávané prvky a pak samozřejmě kontrolu na přípustné hodnoty.

Rozhodně off.