Skip to main content
6 eventos
quando alternar formato o que por licença comentário
3/11/2017 às 7:42 comentário adicionado Largato Não tem problema o texto ser malicioso se ele não vai ser executado. Quando você passa um valor, a query já foi lida e interpretada. O que é "comando" já foi convertido em instruções. O texto "malicioso" vai ser passado para o servidor SQL só depois dessa fase de interpretação, e vai ser um mero texto. E o PDO não faz isso que você está falando, a não ser em determinadas condições. Veja as respostas da outra pergunta linkada acima, que tem detalhes sobre isso.
2/11/2017 às 22:35 comentário adicionado Fernandes Bacco, entendi que o PDO (mysqli também) pega o [valor] da variável e não da [string] em si, mas minha dúvida é justamente, quando ele pega um valor que é um texto, por exemplo: 1); DROP TABLE xxxxxx; então, esse valor, que é texto, irá ser juntado à instrução de consulta, e é esse ponto que não entendo como deixaria de formar um texto malicioso?
2/11/2017 às 17:51 comentário adicionado Largato Em outras palavras, ele não precisa mudar o texto, justamente porque naquele momento ele é apenas um valor, O SQL já foi processado antes do valor ser usado. Mas isso em engines nativos, como o MySQLi. O PDO na verdade em muitos casos concatena a string e apenas filtra os dados (depende da configuração). Antes era só simulado por padrão, não sei se hoje já fizeram coisa melhor.
2/11/2017 às 17:42 histórico fechada Largato
Maniero sql
Duplicate of Por que dizem que o $_GET no PHP é inseguro contra sql injection?
2/11/2017 às 17:40 comentário adicionado Largato Basicamente porque é passado um valor. No caso do SQL concatenado "na mão", a string é interpretada como SQL, e não como valor.
2/11/2017 às 17:31 histórico perguntada Fernandes CC BY-SA 3.0