Это безопасный способ защитить от SQL-инъекции?

Question

Является ли этот код 100% гарантией безопасности от инъекции SQL:

$id = $_GET['id'] 
mysql_query('SELECT * FROM mytable WHERE id < ' . (int)$id); 

или я должен делать это?

$id = $_GET['id'] 
mysql_query('SELECT * FROM mytable WHERE id < ' . mysql_real_escape_string($id)); 

Answer 1

Запрос может по-прежнему взорваться, если $_GET['id'] пуст или (int)$_GET['id'] оценивает наличие на складе. В результате вы получите синтаксическую ошибку в запросе. Недостаточно слепо бежать или вводить значение типа и вводить его в запрос. Вы должны проверить, что окончательное «безопасное» значение действительно безопасно, а не только волка в одежде бабушки.

Answer 2

Я использую sprintf, mysql_query(sprintf('SELECT * FROM mytable WHERE id < %d', $id));

Answer 3

Это безопасно, но вы, вероятно, хотите сделать

if(is_int($id)){ 
mysql_query('SELECT * FROM mytable WHERE id < ' . mysql_real_escape_string($id)); // just to be safe always to escape 
} 

Answer 4

Эта статья, кажется, быть хорошим в объяснении, как mysql_real_escape_string может защитить вас от SQL инъекций , но также объясняет его «отверстия»

http://www.webappsec.org/projects/articles/091007.shtml

Answer 5

Это

mysql_query('SELECT * FROM mytable WHERE id < ' . mysql_real_escape_string($id)); 

будет плохая практика. Если вы хотите, чтобы быть строка, по крайней мере процитировать строку:

mysql_query('SELECT * FROM `mytable` WHERE `id`<"'.mysql_real_escape_string($id)).'"'; 

(и в то время как вы на него, цитирую все имена полей и таблиц, а также, для таких вещей, как id могло бы быть или стать зарезервированных ключевых слов в какой-то момент)

Я бы предпочел бросок, если он является целым числом. Один аргумент для строковой версии состоял бы в том, что в какой-то день идентификатор может быть буквенно-цифровым (как это видно все чаще на многих веб-сайтах).

Answer 6

Вы должны использовать параметризованные запросы. Тогда вам не нужно беспокоиться обо всем, что ускользает. Это также упрощает чтение SQL. О, и не используйте select *, просто выберите то, что вы хотите.

Answer 7

Нет
вы должны сделать это:

$id = mysql_real_escape_string($_GET['id']); 
//put the escaped string in a $var, so your select statement stays readable 
//this will help in debugging, and make **not** forgetting those vital quotes 
//easier. 
$query = "SELECT * FROM mytable WHERE id < '$id'"; 
//          ^ ^always single quote your $vars 
//  ^         ^and double quote the query 
$result = mysql_query($query); 
//and test to see if your query ran successful. 
if (!$result) { //your query gave an error, handle it gracefully. 

Тогда вы в безопасности.