امنیت سایت

[janbozorgi]

با سلام
بنده بعد از طراحی سایتی البته با odbc متغیر register_globals را off کردم و حالا یکسری مشکل پیدا کردم از جمله:
1- متغیر هایی رو که به صورت کوری استرینگ پاس میدم در صفحه نمیشناسه.

viwe.php?pid='<?php echo $id?> id </a>
و وقتی در این صفحه میام توسط getenv مقدار متغیر pid رو میگیرم و مثلا در یک رشته sql قرار میدم باز هم اون رو نمیشناسه و پیام زیر رو میده:


Warning: odbc_exec() [function.odbc-exec (http://localhost/site/aaza/function.odbc-exec)]: SQL error: [Microsoft][ODBC Microsoft Access Driver] Syntax error (missing operator) in query expression 'id='., SQL state 37000 in SQLExecDirect in E:\wamp...
ممنون میشم مشکل رو بگین

[maysamscript]

به جای getenv از آرایه $_GET استفاده کن ببین درست میشه.
درضمن ممکنه مشکل از دستور sql هم باشه

[janbozorgi]

با سلام
مگه استفاده از آرایه get هم مشکل امنیتی نداره (با این آرایه مشکل برطرف میشه) پس اگه اینطور هست راه دیگه ای در صورت نبود زحمت ارائه بفرمایید

[maysamscript]

مگه استفاده از آرایه get هم مشکل امنیتی نداره
نه کی گفته از لحاظ امنیتی مشکل داره؟!!
شما قبل از استفاده از این متغیر باید اون رو از تابع mysql_escape_string عبور دهیند. اینجوری جلوی sql injection رو میگیرید

[yaqubian]

دوست عزیز
پارامتری رو که شما از طریق آدرس url ارسال می کنید مگه می تونید به روش دیگه ای هم دریافتش کنید؟
باید با $_GET بگیریدش!
موفق باشید