Linha do tempo de Classe PDO, como prepare realmente evita Injection´s SQL [duplicada]
Licença atual: CC BY-SA 3.0
6 eventos
quando alternar formato | o que | por | licença | comentário | |
---|---|---|---|---|---|
3/11/2017 às 7:42 | comentário | adicionado | Largato♦ | Não tem problema o texto ser malicioso se ele não vai ser executado. Quando você passa um valor, a query já foi lida e interpretada. O que é "comando" já foi convertido em instruções. O texto "malicioso" vai ser passado para o servidor SQL só depois dessa fase de interpretação, e vai ser um mero texto. E o PDO não faz isso que você está falando, a não ser em determinadas condições. Veja as respostas da outra pergunta linkada acima, que tem detalhes sobre isso. | |
2/11/2017 às 22:35 | comentário | adicionado | Fernandes | Bacco, entendi que o PDO (mysqli também) pega o [valor] da variável e não da [string] em si, mas minha dúvida é justamente, quando ele pega um valor que é um texto, por exemplo: 1); DROP TABLE xxxxxx; então, esse valor, que é texto, irá ser juntado à instrução de consulta, e é esse ponto que não entendo como deixaria de formar um texto malicioso? | |
2/11/2017 às 17:51 | comentário | adicionado | Largato♦ | Em outras palavras, ele não precisa mudar o texto, justamente porque naquele momento ele é apenas um valor, O SQL já foi processado antes do valor ser usado. Mas isso em engines nativos, como o MySQLi. O PDO na verdade em muitos casos concatena a string e apenas filtra os dados (depende da configuração). Antes era só simulado por padrão, não sei se hoje já fizeram coisa melhor. | |
2/11/2017 às 17:42 | histórico | fechada |
Largato♦ Maniero♦ sql Users with the sql badge or a synonym can single-handedly close sql questions as duplicates and reopen them as needed. |
Duplicate of Por que dizem que o $_GET no PHP é inseguro contra sql injection? | |
2/11/2017 às 17:40 | comentário | adicionado | Largato♦ | Basicamente porque é passado um valor. No caso do SQL concatenado "na mão", a string é interpretada como SQL, e não como valor. | |
2/11/2017 às 17:31 | histórico | perguntada | Fernandes | CC BY-SA 3.0 |