[Вопрос]

В разных хака встречается разное использование - где-то для получения каждой переменной из запроса используется по нескольку раз clean_gpc(), где-то из массива clean_array_gpc() даже одну переменную получают... по сути функции идентичные - но всё-таки есть ли ещё какая-нибудь разница?

и ещё - что делает функция $db->escape_string($vbulletin->GPC['param'])

Originally Posted by Cybermama

что делает функция $db->escape_string($vbulletin->GPC['param'])

http://ru.php.net/mysql_escape_string
или своими словами, чтобы не было XSS из адресной строки браузера или из формы

Originally Posted by Cybermama

но всё-таки есть ли ещё какая-нибудь разница?

кто как хочет, если много переменных, я бы юзал clean_array_gpc() а если одна то clean_gpc();

PS. я в начале вообще получал данные сразу из POST/GET, т.е $_POST['param'], мне потом объяснили что XSS может быть )

Originally Posted by GiveMeABreak

или своими словами, чтобы не было XSS из адресной строки браузера или из формы

хм... ясно.. просто я думала что если переменную через clean_gpc берёшь, то она от этого всего сразу отсекается...
значит в БД-запросах надо юзать $db->escape_string

Originally Posted by Cybermama

хм... ясно.. просто я думала что если переменную через clean_gpc берёшь, то она от этого всего сразу отсекается...

вот дам пример с несколькими данными:

<from action="form.php" method="post">
Имя<input type="text" name="text"><br>
Логин<input type="text" name="text2"><br>
<input type="submit" value="go">
</form>

PHP Code:

<?php

// .. здесь интилизация global.php и т.д

$vbulletin->input->clean_array_gpc('r', array(
        'text'     => TYPE_STR,
        'text2'    => TYPE_STR));

$text =  $vbulletin->GPC['text'];
$text2 =  $vbulletin->GPC['text2'];

echo "Имя: " . $text . "<br>Логин: " . $text2 . "";

?>

GiveMeABreak, в форме не указан метод (по умолчанию GET)
а при проверке данных из формы используется проверка $_REQUEST, т.е. все, что ты вбил в форму, будет отображено в адресной строке
===
такие данные лучше отправлять методом POST

да я знаю просто забыл дописать method="post"