2

Как переписать запрос, чтобы защититься от SQL инъекций?

function  getPass($current_pass)
{
    global $mysqli;
    if ($check = $mysqli->prepare("SELECT password FROM users WHERE id = ?"))
    {
        $check->bind_param("s", $_SESSION['id']);
        $check->execute();
        $check->bind_result($current_pass);
        $check->fetch();
        $check->close();
    }
}
3
  • А где вы тут видите возможность SQL инъекции?
    – Visman
    4 сен 2015 в 12:40
  • Я думал в запросе самом.. Или тут нету возможности для инъекции?
    – Rider_BY
    4 сен 2015 в 12:43
  • Ну если у вас в сессии кто-то сторонний может записывать данные, то да, SQL-инъекцию можно осуществить. Но если кто-то сторонний получил доступ к сессиям, то зачем ему SQL-инъекции, тут сразу доступ к админке организовать можно и делать, что пожелаешь.
    – Visman
    4 сен 2015 в 12:48

2 ответа 2

4

Предполагается, что при использовании подобной записи вы полностью защищены от инъекций. На самом деле вы полагаетесь на утверждение, что инъекция полностью исключена до обнаружения какого нибудь бага. Возможно я выполняю множество лишних действий, но всегда стараюсь перестраховаться.

Все входные параметры я всегда проверяю на то, что они соответствуют ожидаемому типу. Например использую регулярные выражения или явные приведения типов. В любом случае если вы обнаружите какую либо ошибку в ожидаемом поведении данных это будет повод к разбору ситуации и выяснении возможных причин подобного явления.

if(is_numeric($_SESSION["id"])) {
...
}

или

$id=(int)$_SESSION["id"];

Хотя последний вариант возможно вызовет споры, т.к. поведение якобы не определено. В любом случае подобная конструкция должна возвращать целочисленный тип или вызывать исключение. Поведение позволяющее вернуть оригинальную переменную разработчик в здравом умен не должны оставлять.

2
  • Судя по этой строке $check->bind_param("s", $_SESSION['id']); у автора вопроса в $_SESSION['id'] строка, а не число.
    – Visman
    4 сен 2015 в 13:12
  • Visman, Это не имеет значения. Я просто привел пример обработки. Для строки можно использовать проверку другого типа. В любом случае я всегда буду проверять параметры, даже если, как я написал, подобная запись вроде как гарантирует безопасность.
    – Ruslan
    7 сен 2015 в 6:57
2

А вообще надо читать документацию:

Экранирование и SQL инъекции

Значения привязанных к запросу переменных сервер экранирует автоматически. Серверу необходима подсказка в виде указания типов привязываемых переменных, чтобы правильно преобразовать их значения. Дополнительную информацию см. в описании функции mysqli_stmt_bind_param(). Привязанные переменные отправляются на сервер отдельно от запроса и таким образом не могут влиять на него. Сервер использует эти значения непосредственно в момент выполнения, уже после того, как был обработан шаблон выражения. Привязанные параметры не нуждаются в экранировании, так как они никогда не подставляются непосредственно в строку запроса. Необходимо отправлять тип привязанной переменной на сервер, чтобы определить соответствующее преобразование. Смотрите функцию mysqli_stmt_bind_param() для получения большей информации.

http://php.net/manual/ru/mysqli.quickstart.prepared-statements.php

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.