Mereka yang ingin melakukan SQL injection ini akan mencari entry point / attack surface / backdoor yang membolehkan mereka memecah masuk ke dalam database kita. Jadi untuk mengelakkan perkara ini berlaku, sebagai programmer kita perlu memastikan semua input yang dimasukkan oleh user valid dan tiada unsur hacking. Dalam istilah english, ia dipanggil sanitization of user inputs to decrease the attack surface. (mana tau kot2 anda nak googling lepas baca tutorial ni kan?).

function sql_quote( $value ){
 
if( get_magic_quotes_gpc() )
 
{
 
$value = stripslashes( $value );
 
}
 
//check if this function exists
 
if( function_exists( "mysql_real_escape_string" ) )
 
{
 
$value = mysql_real_escape_string( $value );
 
}
 
//for PHP version < 4.3.0 use addslashes
 
else
 
{
 
$value = addslashes( $value );
 
}
 
return $value;
 
}

Contoh penggunaan, saya ambil contoh mudah;
Katakan anda mempunyai variable $_POST['username] . Jadi apa yang perlu anda lakukan sebelum melakukan apa2 SQL query adalah $username = sql_quote($_POST['username']);

sng bukan? tiada lagi ancaman sql injection.

if(!$name){
Name field missing!
}
 
if(!$age){
Age field missing!
}

Itu baru dua variable yang kita ‘valid’kan, cuba bayang kita ada 10 variable? sakit jugak nak buat tu. =) memang saya tak nafikan, bukannya tak boleh, tapi membazir masa. Untuk mengelakkan masalah ni, kita boleh menggunakan javascript. Lihat contoh di bawah;

Katakan kita ada satu form HTML seperti berikut;

<form action="xxxx.php" method="post" name="UD">
<table>
<tr>
<td>Name :</td>
<td><input type="text" name="name" /></td>
</tr>
<tr>
<td>Age :</td>
<td><input type="text" name="age" /></td>
</tr>
<tr>
<td><input type="button" value="Submit" name="Submit" onclick="return validateForm()" /></td>
</tr>
</table>
</form>

*Pastikan form anda ada tag nama, sebagai contoh name=”UD”.
**Pastikan anda menambah attribute onclick=”return validateForm()” pada button submit anda.

Setelah selesai dengan form di atas, tambah kod javascript berikut di dalam file anda (anda boleh letak kod jscript tersebut sejurus selepas tag penutup head;

<script xsrc="JavaScript.js"></script>
<SCRIPT LANGUAGE="JavaScript">
<!--
function validateForm()
{
var count=0;
var msg="";
for(i=0;i<=2;i++)
{
if(document.UD.elements[i].value=="")
{
count=1;
msg=msg+"\n"+document.UD.elements[i].name;
}
else if((i>1) && (count==0))
{
return(true);
}
}
for(i=0;i<=2;i++)
{
if(document.UD.elements[i].value=="")
{
alert("Ruangan di bawah wajib di isi\n "+msg);
document.UD.elements[i].focus();
return(false);
}
}
}
//-->
</SCRIPT>

Jangan risau, saya akan terangkan bagaimana anda boleh menggunakan script ini untuk semua form anda nnt, hanya sekadar menukar sedikit nombor2 yang terdapat di dalam script itu, dan siap!

Jika anda perasan, dalam form saya HTML sebelum ini, saya meminta user masukkan nama dan juga umur mereka. Ini bermaksud dua input yang akan mereka masukkan. Perhatikan kod jscript dan cari line ini

for(i=0;i<=2;i++)

dan

for(i=0;i<=2;i++)

Tukar 2 mengikut jumlah input yang terdapat dalam form anda.

Kemudian cari line ini;

else if((i>1) && (count==0))

Tukar 1 mengikut jumlah input anda tolak 1 (jangan lupa, tolak satu!).

Siap! tanya di ruangan komen jika anda mengalami masalah tentang script ini. Selamat mencuba. Download contoh script di sini

UPDATE TERKINI:

Saya sedang menambah beberapa fungsi kepada sistem.

Dengan PHP, ada satu cara mudah yang boleh mengatasi masalah ini. Contoh anda memiliki satu web www.affiliate-saya.com, yang khas untuk menjual produk-produk affiliate yang anda sertai. Memang bagus, tapi anda baru perasan bahawa web anda penuh dengan link affiliate!

Caranya mudah sahaja, create satu folder baru di dalam root anda (selalunya folder www atau public_html)..Cth anda mahu menjual produk komputer, create folder bernama komputer. Kemudian di dalam folder ini, create satu file index.php.

Dalam file index.php ini, letakkan code di bawah:

header("Location: http://www.kedai.com/?aff=mdpai");

** tukar link affiliate mengikut link affiliate anda.

Save file tersebut. Siap! tak sampai seminit dah siap..sekarang anda tidak perlu lagi promosi link affiliate yang pjg, tetapi link yang menggunakan nama domain anda sendiri. ( dalam kes ini, anda hanya perlu mempromosikan www.affiliate-saya.com/komputer)..

Download contoh code di sini

$len =16; $base='ABCDEFGHKLMNOPQRSTWXYZabcdefghjkmnpqrstwxyz123456789'; $max=strlen($base)-1;
$activatecode='';
mt_srand((double)microtime()*1000000);
while (strlen($activatecode)<$len+1) $activatecode.=$base{mt_rand(0,$max)};
echo $activatecode;

download contoh code di sini 

function check_email_address($email) {
// First, we check that there's one @ symbol, and that the lengths are right
if (!ereg("^[^@]{1,64}@[^@]{1,255}$", $email)) {
// Email invalid because wrong number of characters in one section, or wrong number of @ symbols.
return false;
}
// Split it into sections to make life easier
$email_array = explode("@", $email);
$local_array = explode(".", $email_array[0]);
for ($i = 0; $i < sizeof($local_array); $i++) {
if (!ereg("^(([A-Za-z0-9!#$%&'*+/=?^_`{|}~-][A-Za-z0-9!#$%&'*+/=?^_`{|}~.-]{0,63})|(\"[^(\|\")]{0,62}\"))$", $local_array[$i])) {
return false;
}
}
if (!ereg("^[?[0-9.]+]?$", $email_array[1])) { // Check if domain is IP. If not, it should be valid domain name
$domain_array = explode(".", $email_array[1]);
if (sizeof($domain_array) < 2) {
return false; // Not enough parts to domain
}
for ($i = 0; $i < sizeof($domain_array); $i++) {
if (!ereg("^(([A-Za-z0-9][A-Za-z0-9-]{0,61}[A-Za-z0-9])|([A-Za-z0-9]+))$", $domain_array[$i])) {
return false;
}
}
}
return true;
}

Untuk menggunakan function ini amat mudah, sebagai contoh:

if (check_email_address($email)) {
echo $email . ' is a valid email address.';
} else {
echo $email . ' is not a valid email address.';
}

Download contoh code di sini.

Function NamaSaya() di bawah memberi output yang berbeza untuk input yang berbeza.

function NamaSaya($namaAyah) {
echo "Wan Mohd Fairuz bin $namaAyah"; }

contoh code:

function NamaSaya($namaAyah) {
echo "$namaAyah"; }
echo "Wan Mohd Fairuz bin ";
NamaAyah("Wan Ismail");
echo "Wan Mohd Fairuz bin ";
NamaAyah("Wan Harun");

Output untuk code di atas ialah:

Wan Mohd Fairuz bin Wan Ismail
Wan Mohd Fairuz bin Wan Harun

Membina function PHP:

• bermula dengan “function()”
• namakan function anda
• “{” pada permulaan function anda
• kod-kod anda
• akhiri dengan “}”

Sebagai contoh pertama, kita akan menulis function NamaSaya() yang akan memaparkan nama apabila dipanggil:

function NamaSaya() {
echo "Wan Mohd Fairuz";
}

Untuk memanggil function ini, hanya perlu;

echo "Nama saya ";
NamaSaya();

Output untuk code di atas : Nama saya Wan Mohd Fairuz

Download contoh kod di sini