par sql injection

[labaiss]

Vēlos pārliecināties:

 

Vai šādas darbības, pilnībā izslēdz Sql injection iespēju:

 

$postotais_mainigais = mysqli_real_escape_string(trim($postotais_mainigais));

+

datu validācija

 

Itkā tā tam vajadzētu būt, ja nekļūdos - bet vēlos pārliecināties (būtu muļķīgi kļūdīties).

Edited December 22, 2010 by labaiss

[briedis]

ja tu netaisi vēl kaut kādas darbības ar šo postotais_mainigais, bet liec to pa taisno kvērijā, tad jā - sql injekcijas nav iespējamas.

[daGrevis]

Funkcija trim() apgriezīs sākumu un beigas stringam. Attiecīgi noņemts visus tukšumus (spaces), kas neatrodas pa vidu. =) Tas nav saistīts ar SQL injekcijām. Man tā domāt. Labojiet, ja tā nav. ))

Edited December 22, 2010 by daGrevis

[mefisto]

Pēdējais laiks apgūt PDO lietošanu.

http://php.net/PDO

[daGrevis]

Varbūt MySQLi?

[mefisto]

Tikai tad, ja tu esi pārliecināts, ka mysql ir vienīgā RDBMS sistēma pasaulē.

Edited December 23, 2010 by mefisto

[ezis]

es vēl šad tad izmantoju sprintf(), nezinu cik tas pareizi, bet strādā :) Kad vajag saņemt decimālos, tad %d + eskeipotājs utt..

Edited December 23, 2010 by ezis

[Kaklz]

Tikai tad, ja tu esi pārliecināts, ka mysql ir vienīgā DBRM sistēma pasaulē.

 

Pietiks arī ar gadījumu, ja tā ir vienīgā, kuru tu lieto.

[codez]

mefisto, kāda atšķirība starp PDO un Mysqli izmantošanu, ja es tos izmantoju, piemēram, ar šādu kveriju:

 

SELECT * FROM users WHERE id=123 FOR UPDATE

[mefisto]

es jau uz to atbildēju augstāk.

[codez]

Uz citām RDBMS, izmantojot PDO, tik un tā neies šāds kverijs.

Kāda jēga tad izmantot PDO?

Edited December 23, 2010 by codez

[codez]

Nu bet kāda jēga izmantot šo konekciju abstrakciju, kā tu saki, ja kveriji tik un tā ir atkarīgi no RDBMS?

[mefisto]

PDO ir konekcijas abstrakcija, kam nav nekāda sakara ar pašiem querijem,

[daGrevis]

Neiztraukšu strīdu par to, kas labāks, jo nezinu, bet sPrintF() ir labi! =))

[rATRIJS]

Nevis sPrintF() bet sprintf().

 

Par PDO vs MySQL manas domas: PDO ir veerts lietot, ja izmanto arii kaadu ORM + piemeeram Active Record un pats manuaali nekaadus specifiskus kveerijus nedrukaa. Tad kveeriji, visticamaak, buus deriigi ne-tikai prieksh, piemeeram, MySQL un paarsleegties uz citu DB buus viegli. Savukaart ja pats raksta kveerijus (+ specifiskus savai DBMS kaa jau codez paraadiija), tad IMO no PDO liela jeega nebuus, jo dalja kveeriju taapat buus jaapaarraksta , ja veeleesies lietot ko citu. Protams, standartizaacijas deelj kompaanijaa var lietot tikai PDO arii ja ir zinaams, ka tekoshajaa projektaa DMBS mainiita netiks - ieraduma peec...