Когда требуется mysql_real_escape_string()?

Question

Is mysql_real_escape_string() с sprintf необходимо только на странице входа или в каждом mysql_query после входа в систему, для предотвращения SQL-инъекции?

Answer 1

Вы должны использовать mysql_real_escape_string для любых предоставленных пользователем данных, которые будут запущены через SQL-запрос.

Answer 2

Вы должны использовать mysql_real_escape_string() каждый раз, когда вы вставляете пользовательские данные в запрос или используете обертку базы данных, такую ​​как PDO, которая может выполнять подготовленные операторы. Это было бы лучше, потому что они выполняют дезинфекцию для вас.

Если вы работаете над общей безопасностью своего сайта, это здорово и определенно необходимо. Если вы ищете причины, по которым ваш сайт был взломан, я сомневаюсь, что это было сделано с помощью SQL-инъекции, поскольку ваш фактический HTML-код был затронут (или, как я думал, я могу ошибаться). Это было бы возможно только в том случае, если ваш FTP-пароль хранился где-то в базе данных.

Answer 3

Используйте его, если вы не доверяете вводам. И никогда не доверяют пользователю.

Answer 4

В любого экземпляра, принимать пользовательский ввод, вы должны использовать mysqli_real_escape_string на него, прежде чем отправить его в базу данных. Также полезно использовать trim() на входе.