class InitVars
{
    # Недопустимые слова в запросахINSERT
    var $deny_words = array('UNION', 'CHAR', 'INSERT', 'DELETE', 'SELECT', 'UPDATE', 'GROUP', 'ORDER', 'BENCHMARK',
                            'union', 'char', 'insert', 'delete', 'select', 'update', 'group', 'order', 'benchmark');

    function InitVars()
    {
    }
    # Метод конвентирует суперглобальные массивы $_POST, $_GET в перемнные
    # Например : $_GET['psw'] будет переобразовано в $psw с тем же значением
    function convertArray2Vars()
    {
        foreach ($_GET as $_ind => $_val) {
            global $$_ind;
            if (is_array($$_ind))
                $$_ind = htmlspecialchars(stripslashes($_val));
        }

        foreach ($_POST as $_ind => $_val) {
            global $$_ind;
            if (is_array($$_ind))
                $$_ind = htmlspecialchars(stripslashes($_val));

        }
    }
    # Метод проверяет $_GET и $_POST переменные на наличие опасных данных и SQL инъекций
    function checkVars()
    {
        //Проверка опасных данных.
        foreach ($_GET as $_ind => $_val) {
            $_GET[$_ind] = htmlspecialchars(stripslashes($_val));

            $exp = explode(" ", $_GET[$_ind]);
            foreach ($exp as $ind => $val) {
                if (in_array($val, $this->deny_words))
                    $this->antihack("Запрещено!Доступ закрыт!<br> Ваш ip адресс помечен!");
            }
        }
        foreach ($_POST as $_ind => $_val) {
            $_POST[$_ind] = htmlspecialchars(stripslashes($_val));

            $exp = explode(" ", $_POST[$_ind]);
            foreach ($exp as $ind => $val) {
                if (in_array($val, $this->deny_words))
                    $this->antihack("Запрещено!Доступ закрыт!<br> Ваш ip адресс помечен!");
            }
        }

    }
    function antihack($msg)
    {
        echo '<font color="red"><b>Antihack error: </b></font>' . $msg . '<br>\n';
        die;
    }
}

Спустя 1 минута, 24 секунды (9.05.2012 - 23:11) sharki написал(а):

Diamorph
Используй PDO и будет тебе счастье Если я не ошибаюсь, там вроде уже идет автоматическое экранирование...

Спустя 23 минуты, 4 секунды (9.05.2012 - 23:39) killer8080 написал(а):

Не знание сути проблемы порождает параною

Спустя 14 минут, 9 секунд (10.05.2012 - 13:16) glock18 написал(а):

Скажите, вашего сына, правда, зовут Robert'; DROP TABLE students; ? ©

Тут уже все сказали по поводу бесполезности класса, помимо того, что пользователям зачем-то запрещает вводить самые обычные слова, дак еще до кучи не все фильтрует. Бросьте этот класс и используйте лучше mysql_real_escape_string - самое простое и понятное по началу будет.

Цитата (sharki @ 9.05.2012 - 19:11)

Используй PDO и будет тебе счастье  Если я не ошибаюсь, там вроде уже идет автоматическое экранирование...

ошибаетесь, PDO ничего не экранирует автоматически. святая вера в это может похуже быть, чем класс в этом топике коли речь о подготовленных запросах, то это совсем отдельная песня

Спустя 2 часа, 50 минут, 23 секунды (10.05.2012 - 16:06) Diamorph написал(а):

glock18, спасибо. я уже такой вывод и сделал, а со временем увидим

Спустя 6 минут, 53 секунды (10.05.2012 - 16:13) Игорь_Vasinsky написал(а):

Цитата

var $deny_words = array('UNION', 'CHAR', 'INSERT', 'DELETE', 'SELECT', 'UPDATE', 'GROUP', 'ORDER', 'BENCHMARK',                             'union', 'char', 'insert', 'delete', 'select', 'update', 'group', 'order', 'benchmark');

эх... а мне эти слова транскрипцией заменять?

Спустя 1 час, 49 минут, 38 секунд (10.05.2012 - 18:03) twin написал(а):

Название темы символично
Такие велосипеды предназначены именно для борьбы с SQL, ибо режут его возможности прямо на корню.

INSERT INTO `test` SET
`num` = (
    SELECT `id` 
    FROM `designers`
    WHERE `name` = 'Алёна'
    LIMIT 1
)

Спустя 20 минут, 54 секунды (11.05.2012 - 17:38) killer8080 написал(а):

Цитата (inpost @ 11.05.2012 - 16:17)

killer8080 # Недопустимые слова в запросах INSERT.

Ну я так понимаю в $_POST придет только имя "Алёна", сам SQL запрос через $_POST никто же передавать не будет

Спустя 2 минуты, 35 секунд (11.05.2012 - 17:43) killer8080 написал(а):

Цитата (Diamorph @ 11.05.2012 - 16:40)

killer8080 расскажи пожалуйста, что означает $$

лучше мануала я все равно не объясню
http://php.net/manual/ru/language.variables.variable.php

Спустя 28 минут (11.05.2012 - 18:23) inpost написал(а):

Diamorph
Сначала учишься писать запросы, потом пару функций для безопасности