WAP Мастер Форум

далее смотрим довольно интересный файл filtro.php приведу его содержание здесь

и сразу замечание - для фильтрации лучше  использовать т.н. "белый список" , а не "черный" - что это значит?
А значит это вот что - лучше создать список символов разрешенных для передачи скрипту, чем запрещать потенциально опасные символы. Очень хорошо помогают в этом регулярные выражения.
Данный код можно переписать следующим образом

1) Цифры следует писать без кавычек, что мы и сделали
2) Если читабельность кода не сильно пострадает, то лучше несколько функций обьеденить в одну конструкцию, тоже сделали
3) Убрали из замены символы chr(9), chr(10), chr(13) - это символы табуляции, они вполне могут пригодиться в дальнейшем и опасности в себе не несут.
4) Еще можно добавить функцию nl2br - она заменит переносы строк на <br />

Т.к. в переменной $a могут находиться довольно много символов, то обрабатывать ее регулярным выражением ее не будем. Но если это, например, пароль или логин, то лучше проверять их регулярными выражениями. Об этом чуть позже.

т.к. в дальнейшем не предполагается использовать нумерованный массив, а только ассоциативный, заменяем mysql_fetch_array на mysql_fetch_assoc

далее файл регистрации - reg.php

Очень интересно, все переменные обрабкатываются функцией filtro, которую мы рассмотрели ранее.
Но ведь не бывает таких универсальных решений, которые бы корректно обрабатывали и e-mail, и пароли, и ссылки, и просто какой-нибудь текст! В данном случае этот код необходимо переписать обязательно!
Я бы сделал примерно так

$title = substr(filtro($_POST['title']),0,25);
$sitename = substr(filtro($_POST['sitename']),0,25);
$razdel = substr(filtro($_POST['razdel']),0,10);

Здесь переменные фильтруются через функцию filtro
$msgs = substr(intval($_POST['msgs']),0,2); - это количество сообщений в гостевой на страницу, соответственно цифра, поэтому используем intval
Далее регулярки
if(!eregi("^[[:alnum:]][a-z0-9_^\.-]*@[a-z0-9^\.-]+\.[a-z]{2,6}$", $_POST['email']))
{exit('Error');}
else
{$email = trim($_POST['email']);}

if(!preg_match("/^http:\/\/+[a-zA-Z_0-9-^\.]+\.[a-z0-9]{2,6}+$/i", $link))
{exit('Error');}
else
{$link = trim($_POST['link']);}

$pass = trim($_POST['pass']
if(!preg_match("/^([a-zA-Z_0-9]+)$/i", $pass))
{exit('Error');}
else
{
if(strlen($pass) < 4)
{exit('Error');}
else
{$pass = substr($pass),0,25);}
}

E-mail и ссылка фильтруются через часто используемые регулярные выражения, можете скопировать их и использовать в своих скриптах.
Пароль подвергнется жестким репрессиям, в нем можно использовать только буквы латинского алфавита, цифры и знаки - и _
Так же пароль должен быть не менее 4 символов.

Панель администрирования из данного скрипта будет рассмотрена чуть позднее, если у Вас есть еще какие-либо замечания, то обязательно пишите!

Вобщем здесь я привел лишь основные недоработки этого скрипта и если копать его глубже, то наверняка найдется еще много недоработок.
Знаете как определяется настоящий срок и для написания какого-либо скрипта?
Предпологаемый срок * 2 + 3 дня + 1 ночь
Вот так вот я это к тому, что любой скрипт можно дорабатывать и дорабатывать, было бы желание

Вобщем я начал переписывать, потом забросил, т.к. думаю бесполезно это, чтобы добиться приличного прироста скорости следует весь скрипт переписывать. Я так понял он на register_globals On работает? Еще там ошибки в HTML коде. Ну и вообще код корявый.