1

Использую PDO, и подготовленные запросы. Но вот суть такова, что к примеру мне приходить сообщение из поля ввода типа textarea

лалала, привер всем!
\n (это перенос строки когда в textarea происходит enter)
я юзер который отправил смс!

Так вот в чем суть, безопасно ли вставлять сразу PDO подготовленный запрос, содержимое которое пришло от юзера, напрямую?

Сейчас использую кучу регулярных выражений, на проверку содержимого, но многие жалуются, что мол форма выдает ошибки типо "ПОле заполнено не правильно", и каждый раз дописывать, вырезать из форм всякие UNION, SELECT и т.д надоело...

6
  • я думаю что нормально, но вот когда будешь выводить эти сообщения, то экранируй их
    – jashka
    27 июл 2016 в 7:43
  • Но я использую $pdo->prepare(); , а в sql запросе плейсхолдеры, оно само экранирует же, в этом то и фишка
    – user190134
    27 июл 2016 в 7:53
  • Значит безопасно, на то они и есть подготовленные запромы
    – jashka
    27 июл 2016 в 7:55
  • Это получается, что в sql запрос можно на прямую из поля ввода пользователя вставлять данные, но все не советуют, вот поэтому и задал вопрос такой.. Из документации: вызов PDO::prepare() .... а также помогает избежать SQL инъекций, так как нет необходимости экранировать передаваемые параметры.
    – user190134
    27 июл 2016 в 7:57
  • во всяком случае никогда нельзя доверять пользователям
    – jashka
    27 июл 2016 в 7:59

1 ответ 1

4

У тебя несколько противоречивые заявления. В вопросе ты пишешь:

безопасно ли вставлять сразу PDO подготовленный запрос, содержимое которое пришло от юзера, напрямую?

Это не совсем по-русски, но можно понять так, что ты подставляешь в запрос те данные, которые пришли от юзера. Разумеется, так делать нельзя.

Однако в комментариях ты пишешь, что

Но я использую $pdo->prepare(); , а в sql запросе плейсхолдеры,

То есть, ты не подставляешь ничего в запрос напрямую. Но потом опять:

Это получается, что в sql запрос можно на прямую из поля ввода пользователя вставлять данные, но все не советуют,

Ты уже определись - подставляешь ты что-то в запрос напрямую, или нет.

Если данные действительно подставляются в запрос напрямую, например так:

$stmt = $pdo->prepare("SELECT name FROM users WHERE email = '{$_GET['email']}'");
$stmt->execute();

то такой запрос, разумеется, небезопасен.

Но если используются плейсхолдеры, например

$stmt = $pdo->prepare('SELECT name FROM users WHERE email = ?');
$stmt->execute([$_GET['email']]);

то здесь данные не подставляются напрямую в запрос, что делает его безопасным.

2
  • Достаточно ли безопасно вставлять так данные в запрос? Через плейсхолдеры....
    – user190134
    30 июл 2016 в 15:35
  • 1
    Если бы было небезопасно, то в них не было бы смысла 30 июл 2016 в 16:10

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.