0

Estou reformulando um sistema de um cliente e o mesmo está usando o modo procedural no login e não PDO, porém para dar mais segurança, usei o sprintf, mas não está funcionando. Vejam:

$sql = sprintf(
    "SELECT *, DATE_FORMAT(DataAcesso,'%d/%m/%Y') AS DataDeAcesso, 
    DATE_FORMAT(DataAcesso,'%H:%i') AS HoraDeAcesso 
    FROM loja_admin WHERE EmailAdmin = '%s' AND SenhaAdmin = '%s'",
    mysqli_real_escape_string($this->conexao, $loginUsuario), 
    mysqli_real_escape_string($this->conexao, $codificado)
);

$query = mysqli_query($this->conexao, $sql);

E quando dou um echo na variável $sql, não aparece nada. Porém quando tiro o DATE_FORMAT(), funciona. Teria algum meio de resolver isso?

0

2 Respostas 2

1

Estou reformulando um sistema de um cliente e o mesmo está usando o modo procedural no login e não PDO, porém para dar mais segurança, usei o sprintf, mas não está funcionando.

O uso ou não do sprintf(), PDO ou usar o modo procedural do mysqli_* não muda em nada a relação com a segurança do código.

O que realmente garante a segurança do código é você escapar os parâmetros da sua query com o mysqli_real_escape_string() ou então usar Prepared Statments, que também estão disponíveis no PDO, mas podem ser usadas também na extensão do mysqli na forma procedural

$statment = mysqli_prepare(
    $this->conexao, 
    "SELECT *, DATE_FORMAT(DataAcesso,'%d/%m/%Y') AS DataDeAcesso, 
    DATE_FORMAT(DataAcesso,'%H:%i') AS HoraDeAcesso 
    FROM loja_admin WHERE EmailAdmin = ? 
    AND SenhaAdmin = ?"
);

mysqli_stmt_bind_param($stmt, 'ss', $loginUsuario, $codificado);
mysqli_stmt_execute($stmt);

Reveja a documentação desses métodos para mais detalhes.

mysqli_prepare

mysqli_stmt_bind_param

mysqli_stmt_execute

1
  • obrigado gmsantos. Vou dar uma olhada nas documentações.
    – user24136
    21/03/2017 às 12:45
0

Consegui resolver escapando o caracter %. Vejam:

$sql = sprintf(
    "SELECT *, DATE_FORMAT(DataAcesso,'%%d/%%m/%%Y') AS DataDeAcesso, 
    DATE_FORMAT(DataAcesso,'%%H:%%i') AS HoraDeAcesso 
    FROM loja_admin WHERE EmailAdmin = '%s' AND SenhaAdmin = '%s'",
    mysqli_real_escape_string($this->conexao, $loginUsuario), 
    mysqli_real_escape_string($this->conexao, $codificado)
);

Você deve fazer log-in para responder a esta pergunta.