0

Здравствуйте. Недавно начал изучать PDO Mysql. Столкнулся с таким вопросом, пишу файл личных страниц для пользователей, и делаю выборку из БД. Хотел уточнить, нужно ли фильтровать переменную $_GET['username'] или же достаточно прогнать через bindParam? Не получится ли SQL Inj? Спасибо)

$stmt = $db->prepare('SELECT `id`, `username` FROM `accounts` WHERE `username` = :username LIMIT 1');
$stmt->bindParam(':username', $_GET['username'], PDO::PARAM_STR);
$stmt->execute();
6
  • isset($_GET['username']) как минимум нужен, чтобы убедиться, что переменная вообще есть в наличии.
    – Visman
    11 янв 2018 в 9:17
  • Вот так подойдет? $username = isset($_GET['username']); $stmt = $db->prepare('SELECT id, username FROM accounts WHERE username = :username LIMIT 1'); $stmt->bindParam(':username', $username, PDO::PARAM_STR); $stmt->execute();
    – VaDoSiQ
    11 янв 2018 в 9:20
  • php.net/manual/ru/function.isset.php if (! isset($_GET['username'])) {exit('Пошли на фиг! С новым годом!');} в начале скрипта, который использует $_GET['username'] P.S. Прежде чем использовать какие-то данные пришедшие со стороны, нужно проверить их наличии как минимум. Как максимум - прогнать через валидатор.
    – Visman
    11 янв 2018 в 9:29
  • Ну а фильтрация нужна? В случае с $_GET['id'] нужна фильтрация intval($_GET['id'])
    – VaDoSiQ
    11 янв 2018 в 9:34
  • Инъекция исключена в любом случае. За это можете не беспокоится. Дополнительные проверки в общем то нужны только для того что бы запрос (или скрипт целиком) не завершился с ошибкой, а была возможность дать пользователю более вразумительное сообщение об ошибке
    – Mike
    11 янв 2018 в 9:58

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Посмотрите другие вопросы с метками или задайте свой вопрос.