De quoi ai-je besoin pour échapper lors de l'envoi d'une requête ?

Lorsque vous exécutez une requête SQL, vous devez nettoyer vos chaînes ou les utilisateurs peuvent exécuter du SQL malveillant sur votre site Web.

J'ai généralement juste une fonction escape_string(blah), qui :

Remplace les échappements () par des doubles échappements (\).
Remplace les guillemets simples (') par un guillemet simple échappé (').

Est-ce suffisant ? Y a-t-il un trou dans mon code ? Existe-t-il une bibliothèque qui peut le faire rapidement et de manière fiable pour moi ?

J'aimerais voir des solutions élégantes en Perl, Java et PHP.

0 commentaires
Classification:catégorie par défaut

Tri par défaut ordre chronologique

5 réponses

GateKiller 2023-03-03 20:13

J'échapperais également aux commentaires (double tiret)

--

Karl Seguin 2023-03-03 20:14

Il vaut mieux utiliser des instructions préparées avec des espaces réservés. Utilisez-vous PHP, .NET... de toute façon, les instructions préparées fourniront plus de sécurité, mais je pourrais fournir un exemple.

Steve Tranby 2023-03-03 20:20

Utilisez des requêtes préparées/paramétrées !

BCS 2023-03-03 20:21

l'API MySQL C a son propre mysql_escape_string(). L'utiliser ou son équivalent serait préférable.

Community 2023-03-03 20:23

Utilisez des déclarations préparées.

De quoi ai-je besoin pour échapper lors de l'envoi d'une requête ?

5 réponses

problème similaire