Возможная инъекция SQL, удаляющая таблицу с хранимой процедурой?

Question

Учитывая это MySQL хранимые процедуры:

CREATE PROCEDURE customer.`getCustomers5`(
sdf varchar(1000) 
) 
BEGIN 

set @se = concat('select * from customer.customertbl where id=', sdf); 


PREPARE stm1 from @se; 

EXECUTE stm1; 

END; 

Можно ли делать инъекции SQL в эту процедуру магазина, даже если передний конец, который называется эта хранимая процедура использует PDO параметр/привязки данных?

Прежде чем вызывать его, мне нужно создать запрос динамически (предложение dynamic where).

Если это возможно сделать SQL-инъекцию, есть ли способ противостоять этой проблеме?

Answer 1

Если ваш параметр является varchar, и вы отправляете строку, то да, это возможно, потому что, даже если вы используете PDO, это все равно будет ЛЮБАЯ строка.

Вы должны определить sdf как свой тип id (это целое число, если нет, сделать его целочисленным!), А затем параметр PDO будет экранирован и избежать SQL Injection.

Хорошей практикой является предотвращение создания динамических запросов в хранимой процедуре и построение запроса в приложении.

Answer 2

Вы просто используете подготовленные заявления неправильно.
У вас должно быть связывать параметры, а не конкатенировать их.

DELIMITER // 
CREATE PROCEDURE customer.`getCustomers5`(sdf varchar(1000)) 
BEGIN 
    PREPARE stm1 from 'select * from customer.customertbl where id=?'; 
    SET @a = sdf; 
    EXECUTE stm1 using @a; 
END// 
DELIMITER ;