Evitar inyecciones sql en php

P

Paulita

Usuario de Piedra

Mensajes

46

Puntuación de reacción

0

• 22 Dic 2014

• #1

Buenas noches, tengo una duda como puedo hacer para evitar inyecciones de sql en php? Estoy utilizando sentencia preparada, pero con eso está bien? o le debo de agregar algo?, este es parte del código que utilizó:

PHP:

$query=$db->prepare('INSERT INTO persona(idArea, nombre) VALUES(?,?)');
$query->bind_param('is',$this->idArea,$this->nombre);

 

Julio Rodríguez

Usuario de Bronce

Mensajes

2,521

Puntuación de reacción

2

• 22 Dic 2014

• #2

Hola,

yo para eso lo que suelo usar es

PHP: mysqli::real_escape_string - Manual

la función en si la esta usando bien.

un saludo

 

O

Oliver12387

Mensajes

175

Puntuación de reacción

0

• 22 Dic 2014

• #3

Si estas usando PDO ya se encarga la clase por si sola de evitar las inyecciones

 

Julio Rodríguez

Usuario de Bronce

Mensajes

2,521

Puntuación de reacción

2

• 22 Dic 2014

• #4

Oliver12387 dijo:

Si estas usando PDO ya se encarga la clase por si sola de evitar las inyecciones

Click para expandir ...

no estoy del todo de acuerdo, es verdad que viene con algo mas de seguridad, pero no te protege de todo por ejemplo del HTML.

php - Are PDO prepared statements sufficient to prevent SQL injection? - Stack Overflow

mirar la 2º respuesta, me parece muy interesante.

1 saludo

 

O

Oliver12387

Mensajes

175

Puntuación de reacción

0

• 22 Dic 2014

• #5

Tenía pensado que si, le echare un ojo

Un saludo

 

P

Paulita

Usuario de Piedra

Mensajes

46

Puntuación de reacción

0

• 27 Dic 2014

• #6

Julio Rodríguez dijo:

Hola,

yo para eso lo que suelo usar es

PHP: mysqli::real_escape_string - Manual

la función en si la esta usando bien.

un saludo

Click para expandir ...

Hola Julio Rodriguez gracias por responderme, es decir si utilizo bind_param de la sentencia preparada no es necesario utilizar real_escape_string?

Estoy utilizando mysqli.

 

TriaSev

Usuario de Piedra

Mensajes

52

Puntuación de reacción

0

• 30 Dic 2014

• #7

Tienes que utilizar mysqli_real_escape_string($db);