MySQLとAjaxによる星型評価ボタンの脆弱性に注意

MySQLとAjaxによる星型評価ボタンの設置方法*ホームページを作る人のネタ帳に、流行りのスターレイティングを表示するプログラムの設置方法が載っていました。 内容は、YvoSchaap.com - CSS: Star Rater Ajax Versionの日本語訳になっています。 このプログラムで気になった点、危険な点を挙げておきます。 ３）PHPを作るに載っていたPHPのソースコードはかなり危険です。 if($_GET[’rating’] && $_GET[’imgId’]){ $dbh=mysql_connect ("localhost", “#######”, “"#######", “) or die (’I cannot connect to the database because: ‘ . mysql_error()); mysql_select_db (""#######

[usj12262]

SJISだめ→詳細まとめる

[rhosoi]

mysql関数を使ってるんだから、どう考えてもここでのエスケープはmysql_real_escape_stringを使うべき 「これは危険すぎます。」

[parkbench]

isset()って複数の引数を指定できたんだ

[nitoyon]

海外記事のセキュリティつっこみ。「元記事を詳しく読まない人も多いので、注意を促しておいた方が良いと思われます。」