[pkym]

Mirki czy powinno się używać takich metod do tworzenia zapytania?

$query = "SELECT id FROM users WHERE id={$variable}";
$query = "SELECT id FROM users WHERE id=".$variable;

Często u juniorów widzę, że bawią się ' i "

#pytanie #programowanie #php #programista15k

[husky83]

@pkym: A o PDO słyszał?

[Rst00]

@pkym: #rakcontent

[h0lend9r]

@pkym: bindParam

[mariecziek]

@pkym: Nie powinno. Powinno się używać PDO.

[pkym]

@husky83: Słyszał, stosuje właśnie ( ͡° ͜ʖ ͡°)
https://pastebin.com/GwAgvAxz

[husky83]

zastanawia mnie to czy są jakieś przeciwskazania ( ͡° ͜ʖ ͡°)

@pkym: jeśli jesteś w 100% pewien tego co jest w tej zmiennej to w ostateczności można używać

[mariecziek]

@pkym: tak, SQL injection. Ktoś tam może przekazać zapytanie SQL, które pobierze ci wszystkie rekordy z bazy, albo usunie dane z bazy. Trzeba filtrować zmienne. Kiedyś się używało tego https://www.php.net/manual/en/function.mysql-escape-string.php lub podobnych fukcji co pomagało zapobiegać SQL injection.

Gdyby $variable była '1; DROP TABLE users', to już byś nie miał użytkowników w bazie.

[N.....l]

@pkym: Tak, stosuj tak zawsze jeśli $variable idzie prosto od usera np. z formularza

[pkym]

@husky83: @mariecziek: @Nicescroll:
Używam np. w klasie dla wartości private, którą definiuję w klasie, wszędzie indziej PDO z PDO::ATTREMULATEPREPARES => false

[husky83]

@pkym: no to na upartego może być, ale lepiej sobie wyrobić nawyk korzystania z PDO wszędzie

[N.....l]

@pkym: Chłopie żartowałem, nie wolno tak robić jak ci wyżej wskazałem. Z pdo korzystaj i zawsze wszystko od usera sanitaryzuj.

[passage]

@pkym: Nie powinno.

never to trust data from user

Albo masz:

router -> validacja -> sanitizacja -> controller

[pkym]

@husky83: Tak cały model jest na PDO
@Nicescroll: Domyśliłem się ( ͡° ͜ʖ ͡°) --> trim,striptags, htmlspecialchars, filersanitize_string i wrzucanie przez bindValue + tam jakieś patterny w HTML
@passage: Coś takiego mam (1) ( ͡° ͜ʖ ͡°)

[n.....i]

router -> validacja -> controller -> orm/pdo -> db

gdzie to drugie rozwiązanie jest lepsze i wygodniejsze.

@passage: sanityzacja powinna być zawsze bo się zapomnisz, przekażesz dane do widoku i będzie XSS. A jak purifier sobie siedzi w middlewarze i czyści każdego requesta to śpisz spokojnie bez względu na to dokąd te dane pójdą,