SQL инъекция

I

20

isoft

25 июня 2009, 17:17

724

просмотр категории

http://mysait.ru/index.php?category=1

достаточно ли защититься от инъекции, таким путем:

$cat=intval($_GET[categoty]);

далее, запрос

SELECT * FROM $db_category WHERE selector=$cat

J

53

jumash

25 июня 2009, 18:45

#1

Вполне конечно

Просто потом следите, чтобы от результатов выдачи не выдалось лишнего - если типа category=666

А вообще можно сразу делать проверку - is_numeric($GET['category']) :)

31

wdsg

25 июня 2009, 19:27

#2

Разумеется, оптимально выполнить проверку is_numeric() перед выполнением запроса. Ведь если в $_GET['categoty'] будет содержаться 'вылылыпыдысты', запрос в базу всё равно убежит. А зачем они нужны, лишние запросы?

Проектирование и разработка сложных IT-систем. Вожусь с проблемными задачами.

E2

128

error2k

25 июня 2009, 22:49

#3

isoft:
далее, запрос

SELECT * FROM $db_category WHERE selector=$cat

А тут чего? Вопрос не дописали? Для чисел is_numeric - самый ок.

Ап! И тигры у ног моих сели.

I

20

isoft

26 июня 2009, 02:55

#4

wdsg:
Разумеется, оптимально выполнить проверку is_numeric() перед выполнением запроса. Ведь если в $_GET['categoty'] будет содержаться 'вылылыпыдысты', запрос в базу всё равно убежит. А зачем они нужны, лишние запросы?

Спасибо. Вот это действительно нужный совет для начинающего. ☝

569

Dreammaker

26 июня 2009, 13:32

#5

isoft, вот полезная ссылка по вопросу http://phpfaq.ru/slashes

В 2023 году 36,9% всех DDoS-атак пришлось на сферу финансов

Что делать, если ваша email-рассылка попала в спам