0

en las clases el profesor que cuando recibíamos datos desde un formulario debíamos poner FILTER_SANITIZE_STRING, pero viendo códigos de otras personas realmente nunca veo que se utilice de esta forma, la mayoría de veces (si utilizan algo de seguridad) usan htmlspecialchars. Para mas información, utilizo msqli (prepared statement)

Recomendáis utilizar las dos formas? con una suficiente? He estado buscando algunos comentarios pero tampoco hay demasiado, y no me lo dejan muy claro.. Saludos

 $sql = "INSERT INTO usuario (nia, password,nombre,apellidos,email,telefono,especialidad_estudio)     
                                    VALUES (?,?,?,?,?,?,?)";

           $stmt= $this->conn->prepare($sql);

           //SANITIZE

           $this->nia=htmlspecialchars(strip_tags($nia));
           $this->password=htmlspecialchars(strip_tags($password));
           $this->nombre=htmlspecialchars(strip_tags($nombre)); 
           $this->apellidos=htmlspecialchars(strip_tags($apellidos));
           $this->email=htmlspecialchars(strip_tags($email));
           $this->telefono=htmlspecialchars(strip_tags($telefono));
           $this->especialidad=htmlspecialchars(strip_tags($especialidad)); 

            $password_hash = password_hash($this->password, PASSWORD_BCRYPT);

                //BIND PARAM
           $stmt->bind_param('issssis',$this->nia,$password_hash ,$this->nombre,$this->apellidos,$this->email,$this->telefono,$this->especialidad);

           $stmt->execute();
           $stmt->close();

           $this->conn->close();

5
  • Deberías tener consultas preparadas, ¿podrías mostrar tu código por favor?
    – user128299
    Commented el 29 mar. 2020 a las 15:28
  • edito mi anterior mensaje Commented el 29 mar. 2020 a las 15:57
  • 1
    Primeramente, hay mucha confusión con lo que significa sanear (ver esta respuesta). Por un lado implica escapar algo que está destinado a la salida en pantalla, y por otro implica validar una entrada. Según el caso, puedes aplicar uno o ambos, siempre dependiendo del contexto. La clave es: ¿qué se va a hacer con el dato de entrada?. O sea, ¿qué uso se le dará a ese dato? Es la respuesta a esa pregunta la que te indica lo que debes hacer con él... [+]
    – A. Cedano
    Commented el 29 mar. 2020 a las 18:03
  • 1
    - Si es para mostrarlo en pantalla, tienes que aplicar un método de saneamiento que limpie la entrada de posibles inyecciones a nivel del documento; -Si es para mandarlo en una consulta a la BD bastará con aplicar consultas preparadas; -Si se requiere validar la entrada, entonces aplica un filtro de validación. A veces se abusa del saneamiento. Se sanea sin saber dónde, ni por qué ni para qué, se sanean cosas que no se tienen que sanear, se sobrecarga el código y a veces ni siquiera se cubren los requisitos para los cuales se filtra. Teniendo claro el objetivo ya sabrás aplicar lo que toque.
    – A. Cedano
    Commented el 29 mar. 2020 a las 18:04
  • 1
    En esta respuesta se ha tratado también un problema parecido, pero creo que aclara también algunos conceptos sobre el saneamiento y sus mitos.
    – A. Cedano
    Commented el 29 mar. 2020 a las 18:10

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.