Mam tabelkę o nazwie news a w nim:
id
nazwa_kat_id
data_utw
tytul
tekst

Zrobiłem sobie taką prościutką wyszukiwarkę, która wyszukuje posty id, tytul i tekst a kod wygląda tak (wszystko w jednym pliku o nazwie wyszukiwarka.php):

[HTML] pobierz, plaintext 
<form action="wyszukiwarka.php" method="post">
  <fieldset> 
  <legend>Szukaj</legend> 
  <input type="text" name="slowo"  id="slowo" value="<?php echo $slowo; ?>"  size="17" /> 
  <input type="submit" name="znajdz" value="Szukaj" class="button" /> 
   </fieldset>
</form>
[HTML] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
echo '<table summary="Tabela testowa" class="tabela2">';
echo '<tbody><tr><th class="first">Lp</th>';
echo '<th>Tytuł</th>';
echo '<th>Data</th></tr>';
require('mysql.php');
 
if(isset($_REQUEST['slowo'])) {
 
$slowo = stripslashes($_REQUEST['slowo']);
 
$query = 'SELECT id, tytul, tekst FROM ' . $prefix . 'news WHERE tytul LIKE '%' . $slowo . '%' OR tekst LIKE '%' . $slowo . '%' ORDER BY data_utw DESC';
 
$result = mysql_query($query);
$n = mysql_num_rows($result);	
 
if (strlen($slowo)<3){
 
echo 'Szukany ciąg musi mieć przynajmniej trzy znaki';
}
else {
 
if($n > 0) {	
 
while($wiersz = mysql_fetch_assoc($result)
{
 
echo '<tr>';
echo '<td>'.$wiersz['id'].'</td>';
echo '<td>'.$wiersz['tytul'].'</td>';
echo '<td>'.$wiersz['tekst'].'</td>';
echo '</tr>';
}
echo '</tbody>';
echo '</table>';
}
 
else { 
	  echo 'Nie ma tego słowa w bazie';
		} 
		}
		}
		mysql_close();
?>
</form>
[PHP] pobierz, plaintext 

I mam pytania z nim związane.

1. Czy wystarczy zabezpieczenie przed atakami tylko słowa $keyword poprzez stripslashes ? Jeśli nie to co można dodać ? Czy to wystarczy mysql_real_escape_string ?
2. Czy przy wyświetlaniu wyników id, tytul i tekst trzeba dodać stripslashes i strip_tags np. stripslashes($wiersz['tytul']) ?
3. Gdzie należy dopisać echo z informacją:

- że pusta jest baza
- że tego słowa nie ma w bazie
- jeśli nie wpisałem słowa a kliknąłem w przycisk submit to ma pojawić się info, że nie podałem słowa kluczowego ?

Nie jestem pewien czy w kodzie jest dobrze i w którym to miejscu.

4. Czy najlepsze jest tak pisać po wpisaniu słowa i kliknięciu w submit formularza ?

[PHP] pobierz, plaintext 
<?php
if(isset($_REQUEST['slowo'])) {
$keyword = stripslashes($_REQUEST['slowo']);
 
itd.
?>
[PHP] pobierz, plaintext 

czy tak :

[PHP] pobierz, plaintext 
<?php
if(array_key_exists('slowo', $_POST) ) {
$slowo = stripslashes($_POST['slowo']);
 
itd.
?>
[PHP] pobierz, plaintext 

Co można jeszcze dodać do kodu lub zmienić ?

Za pomoc dziekuje

- zawsze stosuj mysql_escape_string, lub nawet addslashes zanim zapiszesz dane do bazy
- register_globals na off, zawsze stosuj _GET _POST
- usuwaj wszelkie informacje o błedach, zawsze utrudni to ewentualnym włamywaczom pracę

Inzabi
register_globals na moim serwerze jest na off. Natomiast nie wiem o co chodzi z tym _POST i _GET. Ta tablica $_REQUEST będzie mi potrzebna w panelu admina gdzie mam sesje i ciasteczka. Na publicznej stronie użyję _POST. O to ci chodziło ?


Możesz to rozwinąć ? O jakie błędy ci chodzi ?

$_REQUEST to tablica zbiorcza, stosuje się ją raczej w starych serwisach, które działają jeszcze na register_globals. Gdy ją stosujesz, to włamywacz ma szerokie pole do popisu. Można przejąć na przykład informacje z sesji i stać się adminem. Nie podam tu sposobów, aby nie ułatwiać zadanie domorosłym hakierom . Dlatego stosuj zawsze $_GET, $_POST, $_SESSION>
Jeśli musisz używać $_REQUEST, to znak, że musisz zmienić projekt strony.

Co do tych błedów. Chodzi zablokowanie możliwości podejrzenia struktury tabeli, najlepiej stosowac error_reporting(0) i zabezpieczać się przed sql injection.
Na przykład: stosuj @mysql_query() zamiast 'mysql_query(), wtedy w przypadku błednego zapytania SQL, w najgorszym razie, strona bedzie pusta.

Aha rozumiem. Zrobić taki zapis if(isset($_POST['slowo'])) zamiast if(isset($_REQUEST['slowo'])) ?

A czy zapisanie error_reporting(0); do pliku o nazwie mysql.php wystarczy ? A ten plik wygląda tak:

[PHP] pobierz, plaintext 
<?php
error_reporting(0);
@mysql_connect($mysql_hostname, $mysql_username, $mysql_password) or die('MySQL error: ' . mysql_errno() . ' ' . mysql_error());
mysql_select_db($mysql_database);
mysql_query("SET NAMES latin2");
?>
[PHP] pobierz, plaintext 

A będę wywoływał poprzez require('mysql.php'); a w tym miejscu $result = mysql_query($query); dodać znak małpy i zmienić na $result = @mysql_query($query);

Czy prawidłowo ?

Najlepiej zabezpieczaj wszystko co się da. To że błędów nie widać, nie znaczy, że już jest bezpiecznie. Do pełnego zabezpieczenia jeszcze daleka droga.