Правильно ли я санируюсь/бегаю?

Question

Я сделал простой поисковый скрипт в PHP, который ищет базу данных mySQL и выводит результат. Как это работает:

• Пользователь ищет «домкрат» через форму поиска.
• Мой PHP-скрипт GET Этот поиск и дезинфицирует его.
• Затем сценарий, используя SELECT и LIKE, получает результаты.
• После этого сценарий выводит результат пользователю.
• И, наконец, скрипт сообщает пользователю, что «результат возвращен x». с помощью ускользания.

Что я хотел бы задать, правильно ли я это делаю?

Это, как я дезинфицировать перед тем SELECTING из базы данных: «возвращаемые х результаты Джека»

if(isset($_GET['q'])){ 
    if(strlen(trim($_GET['q'])) >= 2){ 
    $q = trim(mysql_real_escape_string(addcslashes($_GET['q'], '%_'))); 
    $sql = "SELECT name, age, address FROM book WHERE name LIKE '%".$q."%'"; 
    } 
} 

И это, как я бежать перед выводом:

echo htmlspecialchars(stripslashes($q)) . " returned x results."; 

Является ли это правильный путь сделать это?

Кстати, я знаю, что PDO и mySQLi предпочтительнее, поскольку они санируют себя с помощью подготовленных заявлений, но у меня нет никакого реального опыта с ними. Но я бы с радостью посмотрел, если вы, ребята, могли бы связать мне несколько учебников/объяснений новичков. Кроме того, я слышал, что magic_quotes и charset могут так или иначе привести к инъекциям - это правильно?

Answer 1

По какой-то причине нам также нужны также escape a backslash.
Таким образом, правильный код будет, я считаю

if(isset($_GET['q'])){ 
    $_GET['q'] = trim($_GET['q']); 
    if(strlen($_GET['q']) >= 2){ 
    $q = $_GET['q']; 
    $q = '%'.addCslashes($q, '\%_').'%'; 
    // now we have the value ready either for escaping or binding 
    $q = mysql_real_escape_string($q); 
    $sql = "SELECT name, age, address FROM book WHERE name LIKE '$q'"; 
    //or 
    $sql = "SELECT name, age, address FROM book WHERE name LIKE ?"; 
    $stm = $pdo->prepare($sql); 
    $stm->execute(array($q)); 
    $data = $stm->fetchAll(); 
    } 
} 

Для выхода используйте

echo htmlspecialchars($_GET['q']); 

stripslashes не нужны здесь.

Кроме того, я слышал, что magic_quotes и charset могут так или иначе привести к инъекциям - это правильно?

магические кавычки не повредят вашей безопасности, если вы их не используете.
charset опасен в случае некоторых чрезвычайно редких кодировок, но только если неправильно установлен. если для этой цели были использованы mysql(i)_set_charset или DSN (в случае PDO) - вы снова в безопасности.

Что касается PDO, tag wiki должна быть достаточно для стартера, я считаю