3

Tengo una función para detectar las palabras que contenga un string, el problema es que si no detecta dos palabras o más da false, además de que diferencia entre mayúsculas y minúsculas y no me sirve.

Aquí el código:

<?php
  function strposa($haystack, $needles=array(), $offset=0) {
          $chr = array();
          foreach($needles as $needle) {
                  $res = strpos($haystack, $needle, $offset);
                  if ($res !== false) $chr[$needle] = $res;
          }
          if(empty($chr)) return false;
          return min($chr);
    }
      $string = 'insert drop';
    $array  = array('like', 'drop', 'table', 'delete', 'insert', 'into', 'values', 'select', 'from', 'where', '=', ':', 'sv_nicks', 'count', 'include', '<', '>', ';', '{', '}', '(', ')', '"', "'", '.', '$', 'or', 'and', 'mysql', 'pdo', 'db', 'alter', 'database', 'inner', 'view', 'server', 'rename', 'truncate', 'collate', 'set', 'update', 'event');
    if (strposa($string, $array, 1)) {
        echo 'true';
    } else {
        echo 'false';
    }
?>

Si $string = 'insert', devuelve false.
Si $string = 'insert Drop', devuelve false.
En cambio si $string = 'insert drop', devuelve true.

2
  • 2
    Solo un comentario, por los valores que muestra parece código destinado a prevenir un ataque inyección SQL. Si este código es para un ejercicio no hay problema, pero si es para producción recomiendo que se use alguna librería estándar; estas cosas son complicadas y si te dejas algún vector de ataque normalmente no te enteras hasta que es demasiado tarde.
    – SJuan76
    Commented el 29 ene. 2019 a las 10:16
  • SJuan76, no es para prevenir, para eso estoy usando PDO. Lo que quiero lograr con esto es obtener los valores del registro y la ip para luego reflexionar si vale la pena bloquearlo. A pesar que protegí la BD, de igual manera quiero mantener ese tipo de usuarios al margen.
    – Morderisk
    Commented el 29 ene. 2019 a las 10:18

3 respuestas 3

4

Por un lado, para que no diferencie entre mayúsculas y minúsculas he convertido la cadena a minúsculas al pasarla a la función con strtolower. Para que tenga en cuenta todas las palabras he eliminado el parámetro de offset, y para que se vea el funcionamiento he colocado un contador en la función que devuelve el número de palabras coincidentes del string con elementos del array.

Espero que te sirva.

function strposa($haystack, $needles=array()) {
          $counter = 0;
          foreach($needles as $needle) {
                  $res = strpos($haystack, $needle);
              if ($res !== false) {$counter ++; }

          }
          return $counter;
    }
      $string = 'insert Drop';
    $array  = array('like', 'drop', 'table', 'delete', 'insert', 'into', 'values', 'select', 'from', 'where', '=', ':', 'sv_nicks', 'count', 'include', '<', '>', ';', '{', '}', '(', ')', '"', "'", '.', '$', 'or', 'and', 'mysql', 'pdo', 'db', 'alter', 'database', 'inner', 'view', 'server', 'rename', 'truncate', 'collate', 'set', 'update', 'event');
$result = strposa(strtolower($string), $array, 1);
    if ($result>0) {
        echo 'true'." - palabras ".$result;
    } else {
        echo 'false';
    }

Resultado: true - palabras 2

3

Me gustó más la respuesta de @Jakala, aunque yo simplificaría, pasando strtolower mediante array_map.

Creo que también es bueno establecer un control mínimo sobre aquellos datos que vienen del exterior, mucho más si se trata de detectar ciertas malas intenciones... Por ejemplo, como una estrategia de un usuario mal intencionado, la lista de cadenas a comparar podría venir con espacios en blanco (por ejemplo el hacker escribe drop con un espacio en blanco), ese valor es pasado por alto a causa de ese espacio. Significa que hay que hacer limpieza con trim.

Propondría una función como esta. Todo viene explicado en los comentarios del código:

function stringExists($listString, $needles){
    /*Convertimos la lista a array y limpiamos con trim*/
    $toFind=explode(' ',trim($listString));
    /*
        Comparamos ambos arrays con array_intersect
        pero antes aplicamos strtolower a cada valor
        de ambos arrays mediante array_map
    */
    $allMatchs=array_intersect(array_map('strtolower', $toFind), array_map('strtolower', $needles));
    //var_dump($allMatchs);
    /*
        $allMatchs es un array, lo podemos usar con count
        para saber si hubo o no coincidencias.
        Dado que el interés de la función
        es saber si hubo o no coincidencias
        creamos aquí un booleano contando la cantidad de coincidencias
    */
    $status=( count($allMatchs) > 0 ) ? TRUE : FALSE;
    
    /*
        Lo podríamos usar también para saber
        cuáles cadenas específicas fueron encontradas
        Esto es sólo un gadget, por si hiciera falta
    */    
 
    if ( $status ){
        echo "Valores coincidentes: ".implode(',',$allMatchs).PHP_EOL;
    }
    return $status;
}

Prueba

$string = 'insert Drop ';
$array  = array('like', 'drop', 'table', 'delete', 'insert', 'into', 'values', 'select', 'from', 'where', '=', ':', 'sv_nicks', 'count', 'include', '<', '>', ';', '{', '}', '(', ')', '"', "'", '.', '$', 'or', 'and', 'mysql', 'pdo', 'db', 'alter', 'database', 'inner', 'view', 'server', 'rename', 'truncate', 'collate', 'set', 'update', 'event');

var_dump(stringExists($string,$array));

Salida:

Valores coincidentes: insert,drop
bool(true)

Fiddle

Aquí se puede ver una DEMOSTRACIÓN en línea del código y hacer pruebas sobre él.

2

Lo mas sencillo para tu implementacion es pasar la cadena a minusculas, utilizando strtolower.

Te propongo otra solucion a tu problema, utilizando array_intersect:

function existString($haystack, $needles = []) {
    $search = strtolower($haystack);
    $words = explode($search, ' ');
    $diff = array_intersect($words, $needles);
    return $diff;
}

La funcion coje $haystack y lo convierte a minusculas. Luego la divide en elementos de un array. Seguidamente hacemos intereseccion entre los elementos de esa cadena y los que queremos comparar. diff devolvera un array de elementos encontrados, o un array vacio.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.