faille dans ma protection xss

**sinifer** · 31/01/2011, 15h10

bonjour,

j'ai ajouter une fonction de protection contre les injection sql et xss par contre quand je fais un rapport de test sur firefox il me mets comme quoi il y a possibilité de danger contre les xss.

Je récupère les données d'un post

madSafety($_POST["prenom"]);

cette function est celle-ci

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
function madSafety($string){
	$string = mysql_real_escape_string($string); 
	$string = strip_tags($string); 
	$string = htmlspecialchars ($string);
	return $string;
}

ai-je oublié quelque chose ou je dois doit protégé ma variable avant la récupération du post??

Merci de votre aide.

**stealth35** · 31/01/2011, 16h27

strip_tags et htmlspecialchars n'ont rien a faire la, c'est au moment de l'affichage qu'il faut le faire

**sabotage** · 31/01/2011, 20h02

Les injections XSS et les injections SQL sont deux sujets différents qu'il faut traiter séparement.

**sinifer** · 01/02/2011, 09h30

Merci

Donc il faut que je fasse une protection à l'insertion et une autre à l'affichage.

et c'est à l'affichage que je dois mettre mon strip_tags et htmlspecialchars

et pour mon insertion je mets tous simplement mysql_real_escape_string

Merci de me dire si je suis dans le juste.

Cordialement,