0

Начинаю изучать веб-дизайн. Столкнулся с небольшой проблемой. У меня есть новостная лента, к которой делается запрос вида

SELECT * FROM news WHERE id = {$_GET['id']}

Мне сказали, что это небезопасно, так как здесь происходит прямая SQL-инъекция. Как от этого можно избавиться?

2
  • запросы происходят таким образом: $MyQuery = "SELECT * FROM news WHERE id='{$_POST['id']}';"; $Result = mysqli_query($this->db,$MyQuery);
    – Pavel
    11 мая 2013 в 9:34
  • вам сюда
    – zb'
    11 мая 2013 в 9:42

2 ответа 2

3

PDO вам в помошь.

1
  • 4
    подскажите пожалуйста, почему в России существует дурацкая привычка ссылаться на сторонние ресурсы вместо официальной документации ?
    – zb'
    11 мая 2013 в 9:34
1

В общем случае, не привязанном к определённому модулю или расширению для работы с БД, можно фильтровать входные параметры. Например, вы ожидаете, что id может быть только целым числом, тогда подойдёт:

$id = filter_input ( INPUT_POST, 'id', FILTER_SANITIZE_NUMBER_INT);
// если не установлено расширение для фильтрации, 
// в данном случае, с только-целыми-числами, достаточно следующей строки
// $id приводится к типу "целое", инъекции не пройдут:
$sql = 'SELECT * FROM news WHERE id = ' . (int)$id;

Я нисколько не умаляю необходимость использовать prepared statements везде, где это возможно. Ссылки ещё раз: подготовленные запросы в PDO и в MySQLi, как самых распостранённых.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.