0

Все привет! Подскажите пожалуйста, можно ли в данный код внедрить SQL инъекцию?

$query = $pdo ->query("SELECT * FROM `articles` WHERE `public` = 1 ORDER BY pubdate DESC LIMIT 5");

Заранее спасибо!

6
  • Нет, нельзя внедрить.
    – MoloF
    12 апр 2020 в 15:55
  • 2
    сложно что-то внедрить в код, если он не оперирует данными, которые берёт из вне 12 апр 2020 в 15:59
  • @СергейМишин сложно но возможно? Каким образом это можно сделать если никаких входных данных нет?
    – MoloF
    12 апр 2020 в 16:37
  • @MoloF для вас русский наверное не родной. Это фигура речи, в основе которой лежит сарказм 12 апр 2020 в 16:43
  • @Ипатьев родной, видимо я не так понял просто, не увидел конкретики, но спасибо за объяснение!
    – MoloF
    12 апр 2020 в 16:48

1 ответ 1

0

С целью исключения инъекций SQL (и об этом не паранойить), применяется функция специальная для экранирования. В неё передаются знаки мест данных вставки, в аргумент следующий, типы данных.

$number = (int) 5;
// Знаки не известные означают переменные в порядке соответствующем вызову функции следующей
$mysqli->prepare("SELECT ?")){
     // Здесь указывается тип данных, i - Значит int
     if ($stmt->bind_param('i', $number) == true){
          if ($stmt->execute() == true){
             $return = true;
          }
     }
}

Используется класс mysqli (стиль ООП) Подробней об функциях написано в документации по PHP

1
  • Вообще-то автор использует PDO, а не mysqli и организация кода в целом бессмысленная (все эти if и return не несут ни малейшего смысла) но хотя бы спасибо за использование подготовленных выражений 13 апр 2020 в 4:17

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.