Hvordan sikre et hjemmesnekret CMS-system?

[ilpostino]

Hvis man skal sikre seg mot blant annet SQL injection er det lurt å bruke feks "mysql_real_escape_string" .htaccess og hashing av passord men er det andre ting som kan være lurt å tenke på eller gjennomføre for å sikre et CMS-system?

[andreasn]

OWASP har en liste over ting å tenke på om sikkerhet i PHP: https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet

 

Den anbefaler f.eks ikke å bruke mysql_real_escape_string, men i stedet prepared statements (http://php.net/manual/en/mysqli.quickstart.prepared-statements.php).

[Emsal]

Enig med han over om å bruke prepared, men har ofte bruk "mysqli_real_escape_string". Jeg caster også ofte hvis jeg vet at verdien skal være en int. f.eks (int)$var.

[oddeh]

Enig med han over om å bruke prepared, men har ofte bruk "mysqli_real_escape_string". Jeg caster også ofte hvis jeg vet at verdien skal være en int. f.eks (int)$var.

 

 PHP MySQL er utdatert. i-en i MySQLi står for improved. Alltid bruk MySQLi.