Mereka yang ingin melakukan SQL injection ini akan mencari entry point / attack surface / backdoor yang membolehkan mereka memecah masuk ke dalam database kita. Jadi untuk mengelakkan perkara ini berlaku, sebagai programmer kita perlu memastikan semua input yang dimasukkan oleh user valid dan tiada unsur hacking. Dalam istilah english, ia dipanggil sanitization of user inputs to decrease the attack surface. (mana tau kot2 anda nak googling lepas baca tutorial ni kan?).

function sql_quote( $value ){
 
if( get_magic_quotes_gpc() )
 
{
 
$value = stripslashes( $value );
 
}
 
//check if this function exists
 
if( function_exists( "mysql_real_escape_string" ) )
 
{
 
$value = mysql_real_escape_string( $value );
 
}
 
//for PHP version < 4.3.0 use addslashes
 
else
 
{
 
$value = addslashes( $value );
 
}
 
return $value;
 
}

Contoh penggunaan, saya ambil contoh mudah;
Katakan anda mempunyai variable $_POST['username] . Jadi apa yang perlu anda lakukan sebelum melakukan apa2 SQL query adalah $username = sql_quote($_POST['username']);

sng bukan? tiada lagi ancaman sql injection.

Buat masa sekarang saya amat sibuk dengan projek2 yang datelinenya semakin hampir, so kalau YM anda tak terbalas tu, faham2 la ye. jangan merajuk pulak dah tak tegur saya dah. =) So hari ni saya akan menulis tentang bagaimana membina file pdf menggunakan php, atau lebih tepat lagi dengan menggunakan class FPDF (free PDF) dari Olivier Plathey (client terbaru sy meminta supaya data2 dari database di print dengan lawa dan tersusun. So saya ambil keputusan untuk menggunakan class fpdf ni. Alang2, ada bahan untuk dimuatkan kat mdpai.com). File untuk class ini boleh didapati di sini.

Di antara features FPDF adalah;

- Choice of measure unit, page format and margins
- Page header and footer management
- Automatic page break
- Automatic line break and text justification
- Image support (JPEG and PNG)
- Colors
- Links
- TrueType and encoding support (Central European, Cyrillic and Greek)
- Page compression

*dipetik dari phpclasses.org

Contoh penggunaan akan saya post kemudian setelah saya membaca kesemua documentation yang ada. Tapi jika anda tak sabar, boleh terus baca di website fpdf.

Ok, saya akan terangkan secara asas bagaimana menggunakan class ini untuk kegunaan anda.

Function ini digunakan untuk membuka sambungan dengan server mysql. Juga terdapat mysql_pconnect() yang fungsinya tidak jauh berbeza dengan mysql_connect()
Parameter : [string $server [, string $username [, string $password [, bool $new_link [, int $client_flags]]]]]

Contoh penggunaan biasa:

$link = mysql_connect('localhost', 'mysql_user', 'mysql_password');
if (!$link) {
die('Could not connect: ' . mysql_error());
}
echo 'Connected successfully';
mysql_close($link);
?>

mysql_close();

Function ini digunakan untuk menutup sambungan dengan server mysql.

Parameter : [resource $link_identifier]

Contoh penggunaan biasa:

$link = mysql_connect('localhost', 'mysql_user', 'mysql_password');
if (!$link) {
die('Could not connect: ' . mysql_error());
}
echo 'Connected successfully';
mysql_close($link);

mysql_error();

Function ini digunakan untuk menyimpan mesej error dari operasi sql yang terakhir.

Contoh penggunaan biasa:

$link = mysql_connect("localhost", "mysql_user", "mysql_password");
 
mysql_select_db("nonexistentdb", $link);
echo mysql_errno($link) . ": " . mysql_error($link). "\n";
 
mysql_select_db("kossu", $link);
mysql_query("SELECT * FROM nonexistenttable", $link);
echo mysql_errno($link) . ": " . mysql_error($link) . "\n";

mysql_select_db();

Function ini digunakan untuk mengaktifkan database pilihan kita.

Parameter : string $database_name [, resource $link_identifier]

Contoh penggunaan biasa :

$link = mysql_connect('localhost', 'mysql_user', 'mysql_password');
if (!$link) {
die('Not connected : ' . mysql_error());
}
 
// make foo the current db
$db_selected = mysql_select_db('foo', $link);
if (!$db_selected) {
die ('Can't use foo : ' . mysql_error());
}

mysql_query();

Function ini digunakan untuk menghantar request unik kepada server SQL (kepada database yang aktif)

Parameter : string $query [, resource $link_identifier]

Return Value : Jika anda menggunakan penyataan SELECT, SHOW, DESCRIBE, EXPLAIN, Server SQL akan return nilai yang dicari, tetapi jika anda menggunakan penyataan UPDATE, DELETE, DROP, true untuk query yang berjaya dan false jika terdapat error.

Contoh penggunaan biasa :

$result = mysql_query('SELECT * WHERE id=1');
if (!$result) {
die('Invalid query: ' . mysql_error());
}

mysql_fetch_assoc();

Fungsi : Sepertimana nama function ni, ia akan fetch data yang kita query (sebagai associative array). Terdapat juga fungsi mysql_fetch_row() dan mysql_fetch_array() yang fungsinya sedikit berbeza dengan mysql_fetch_assoc() ini.
Parameter : resource $result .Parameter untuk mysql_fetch_array() adalah result kepada mysql_query().

Return Value : Associative array yang merujuk kepada hasil query yang dihantar kepada server sql.

Contoh penggunaan biasa :

$conn = mysql_connect("localhost", "mysql_user", "mysql_password");
 
if (!$conn) {
echo "Unable to connect to DB: " . mysql_error();
exit;
}
 
if (!mysql_select_db("mydbname")) {
echo "Unable to select mydbname: " . mysql_error();
exit;
}
 
$sql = "SELECT id as userid, fullname, userstatus
FROM   sometable
WHERE  userstatus = 1";
 
$result = mysql_query($sql);
 
if (!$result) {
echo "Could not successfully run query ($sql) from DB: " .
mysql_error();
exit;
}
 
if (mysql_num_rows($result) == 0) {
echo "No rows found, nothing to print so am exiting";
exit;
}
 
while ($row = mysql_fetch_assoc($result)) {
echo $row["userid"];
echo $row["fullname"];
echo $row["userstatus"];
}

Dengan beberapa fungsi asas MySQL dalam PHP di atas, anda sudah boleh mula mempraktikkan penggunaan database dalam pengaturcaraan PHP anda.

Study case kali ini adalah masalah yang saya ambil dari forum php.net.my. Masalah ini dikemukakan oleh sdr bushak;

“..
Katakan aku nak buat seacrh function.. User ada pilihan 2 input utk search:
1. nama
2. asal (negeri)

User boleh buat searching samada kedua² pilihan tersebut atau salah satu jer.. ..”

Jika field anda ada 2/3 saja, takde masalah, anda boleh test jika field itu di isi atau tidak dengan menggunakan function if else biasa. Tapi cuba bayangkan jika terdapat 10 field dan user boleh pilih nak isi yang mana dia mahu (maksudnya field2 tersebut tidak wajib diisi, field2 terbabit hanya akan diproses jika ianya tidak NULL).

Ini cadangan saya terhadap permasalahan ini;

$myArray = Array("nama" => $option1, "asal" => $option2, "umur" => $option3);
$where = "SELECT * FROM user WHERE ";
foreach($myArray as $key => $value){
if($value != ""){
$value = $key." RLIKE ".$value;
}
}
$temp = implode(" AND ", $myArray);
$where .= $temp;

if(!$name){
Name field missing!
}
 
if(!$age){
Age field missing!
}

Itu baru dua variable yang kita ‘valid’kan, cuba bayang kita ada 10 variable? sakit jugak nak buat tu. =) memang saya tak nafikan, bukannya tak boleh, tapi membazir masa. Untuk mengelakkan masalah ni, kita boleh menggunakan javascript. Lihat contoh di bawah;

Katakan kita ada satu form HTML seperti berikut;

<form action="xxxx.php" method="post" name="UD">
<table>
<tr>
<td>Name :</td>
<td><input type="text" name="name" /></td>
</tr>
<tr>
<td>Age :</td>
<td><input type="text" name="age" /></td>
</tr>
<tr>
<td><input type="button" value="Submit" name="Submit" onclick="return validateForm()" /></td>
</tr>
</table>
</form>

*Pastikan form anda ada tag nama, sebagai contoh name=”UD”.
**Pastikan anda menambah attribute onclick=”return validateForm()” pada button submit anda.

Setelah selesai dengan form di atas, tambah kod javascript berikut di dalam file anda (anda boleh letak kod jscript tersebut sejurus selepas tag penutup head;

<script xsrc="JavaScript.js"></script>
<SCRIPT LANGUAGE="JavaScript">
<!--
function validateForm()
{
var count=0;
var msg="";
for(i=0;i<=2;i++)
{
if(document.UD.elements[i].value=="")
{
count=1;
msg=msg+"\n"+document.UD.elements[i].name;
}
else if((i>1) && (count==0))
{
return(true);
}
}
for(i=0;i<=2;i++)
{
if(document.UD.elements[i].value=="")
{
alert("Ruangan di bawah wajib di isi\n "+msg);
document.UD.elements[i].focus();
return(false);
}
}
}
//-->
</SCRIPT>

Jangan risau, saya akan terangkan bagaimana anda boleh menggunakan script ini untuk semua form anda nnt, hanya sekadar menukar sedikit nombor2 yang terdapat di dalam script itu, dan siap!

Jika anda perasan, dalam form saya HTML sebelum ini, saya meminta user masukkan nama dan juga umur mereka. Ini bermaksud dua input yang akan mereka masukkan. Perhatikan kod jscript dan cari line ini

for(i=0;i<=2;i++)

dan

for(i=0;i<=2;i++)

Tukar 2 mengikut jumlah input yang terdapat dalam form anda.

Kemudian cari line ini;

else if((i>1) && (count==0))

Tukar 1 mengikut jumlah input anda tolak 1 (jangan lupa, tolak satu!).

Siap! tanya di ruangan komen jika anda mengalami masalah tentang script ini. Selamat mencuba. Download contoh script di sini

Perkara ini bukanlah baru, dan memang biasa berlaku. Ia disebabkan oleh server yang diblacklist kerana penghantaran email secara spam (secara nyatanya, ia bukan salah kita!) Dalam kelas 6, kita menggunakan function mail() yang disediakan oleh PHP untuk menghantar email kita. Untuk mengelakkan masalah ini, saya mencadangkan satu penyelesaian baru, iaitu dengan menggunakan class PHPMailer (download di sini) . Class ini membolehkan kita menghantar email dengan menggunakan kaedah mail() biasa dan juga satu cara baru iaitu, dengan menggunakan SMTP mail. Dengan SMTP, email yang kita hantar mempunyai peratus yang amat tinggi untuk masuk ke inbox, tidak seperti kaedah yang lama.

require("class.phpmailer.php");
 
$mail = new PHPMailer(); //kita create satu object baru dari class PHPMailer
 
$mail->IsSMTP();   //kita memberitahu yang kita akan hantar melalui SMTP
$mail->Host     = "mail.mdpai.com;smtp.mdpai.com"; //set SMTP server, dapatkan nama SMTP server anda sendiri (boleh tanya admin server anda)
 
$mail->From     = "info@mdpai.com"; //email pengirim
$mail->FromName = "mdpai"; //nama pengirim
$mail->AddAddress("johan@mdpai.com","Johan Adam"); //email dan nama penerima
$mail->AddAddress("ellen@site.com");               //email tambahan
$mail->AddReplyTo("info@site.com","Information");
 
$mail->WordWrap = 50;                              // set word wrap
$mail->IsHTML(true);                               // send as HTML
 
$mail->Subject  =  "Here is the subject";
$mail->Body     =  "This is the <strong>HTML body</strong>";
$mail->AltBody  =  "This is the text-only body";
 
if(!$mail->Send())
{
echo "Message was not sent";
echo "Mailer Error: " . $mail->ErrorInfo;
exit;
}
 
echo "Message has been sent";
?>

Download contoh code di sini

Contoh:

if($user == "admin") { //if user == admin
      //code utk admin di sini
      if($varA == $varB) { //if varA == varB
           //code di sini
           //code lagi di sini
      } //end if varA == varB
 } //end if user == admin

Dalam code di atas, ada 2 blok IF, tengok yang saya telah komen setiap pembuka blok dan juga penutup blok. Ini penting jika code anda itu panjang dan terdapat banyak blok. Jika kita membaca code ini setahun akan datang pun, kita akan tahu, penutup blok ini untuk blok yang mana, penutup yang ini pula untuk blok yang mana. Jadi kita boleh jimat MASA untuk proses coding di kemudian hari.

Satu perkara lagi yang sering dilupakan ialah nested block. Lihat yang saya telah tabkan blok2 code saya. Nampak lebih teratur dan kemas bukan? Satu kelebihan utama berbuat begini ialah code kita senang dibaca oleh orang lain dan juga oleh diri kita sendiri.

Kesimpulan, saya tahu yang walaupun kita tak buat 2 convention di atas, memang takde masalah, code kita still betul. Tapi cuba bayangkan, 2-3 bulan selepas itu, kita nak tambah atau edit code kita yang sedia ada. Ha time tu baru tau kepentingan convention ni. =)

UPDATE TERKINI:

Saya sedang menambah beberapa fungsi kepada sistem.

Dengan PHP, ada satu cara mudah yang boleh mengatasi masalah ini. Contoh anda memiliki satu web www.affiliate-saya.com, yang khas untuk menjual produk-produk affiliate yang anda sertai. Memang bagus, tapi anda baru perasan bahawa web anda penuh dengan link affiliate!

Caranya mudah sahaja, create satu folder baru di dalam root anda (selalunya folder www atau public_html)..Cth anda mahu menjual produk komputer, create folder bernama komputer. Kemudian di dalam folder ini, create satu file index.php.

Dalam file index.php ini, letakkan code di bawah:

header("Location: http://www.kedai.com/?aff=mdpai");

** tukar link affiliate mengikut link affiliate anda.

Save file tersebut. Siap! tak sampai seminit dah siap..sekarang anda tidak perlu lagi promosi link affiliate yang pjg, tetapi link yang menggunakan nama domain anda sendiri. ( dalam kes ini, anda hanya perlu mempromosikan www.affiliate-saya.com/komputer)..

Download contoh code di sini