Hola, les traigo una preguntita... Yo estoy desarrollando mi primer web integra en php, y nose que funciones se utilizan comunmente para la seguridad de los formularios, bases de datos, etc.
Yo conozco las siguientes funciones:
<?php
mysql_real_escape_string();
mysql_escape_string();
addslashes();
htmlspecialchars(); 
?>Si hay alguna otra avisen.

Les muestro los datos que me gustaria proteger:

*Un formulario de registro, que si el chequeo da ok inserta los datos en la BD (mysql).

* un formulario de contacto con el cual me envia un mail.

* Formularios que realizan consultas en la BD.

* Formularios que modifican datos de la BD.

Creo que eso es todo, de todas formas no me molestaria que comenten algun otro metodo de seguridad.


Bueno eso es todo, gracias de antemano. Saludos.

Mara, me parece que lo que Martin10 busca es que el texto introducido por el usuario se interprete como texto plano y no como líneas de código que puedan afectar a la seguridad del sistema.

Podría usarse una función parecida a esta:


function Seguridad($cadena) {

$cadena = htmlspecialchars(trim($cadena));
$cadena = eregi_replace("<[^>]*>","",$cadena) ;
$cadena = eregi_replace(".*//","",$cadena) ;

return $cadena;
}


y luego podría aplicarse así a las variables:


$nombre = Seguridad($_POST[&#39;nombre&#39;]);

Aparentemente sí está bien, aunque creo que sobran estas líneas:


// Cambiamos el campo correo en la bd, por lo que se ha escrito en el campo del formulario, esto lo cambiamos donde el usuario es el que esta conectado, y la pass del usuario que esta conectado.

{     //-------> SOBRA

echo &#39;Haz cambiado tu e-mail.<br>&#39;; // Si todo sale bien mostramos que todo ha salido bien
echo&#39;<a href="index.php">Volver atras</a><br>&#39;;

}     //-------> SOBRA


Ya que no abren/cierran ninguna función.

El problema de ese código que expones es precisamente lo que se comenta en este post. Estás cogiendo los valores DIRECTAMENTE del formulario y los estás utilizando en la DB sin más. En este post hablamos de a qué funciones someter estos datos antes de operar con ellos, pues el usuario puede meter código en el formulario y alterar el sistema.

Lo mejor que puedes usar es mysql_real_escape_string() que es en realidad una conbinacion de varias funciones, por ejemplo, se encarga de colocar barras invertidas ( \ ) a las comillas simples y dobles, igual que hace addslashes().

Conclusion, usa mysql_real_escape_string(), es sencilla, rapida, eficaz y segura.

Saludos