Linha do tempo de Select com quantidade indefinidos de condições
Licença atual: CC BY-SA 3.0
7 eventos
quando alternar formato | o que | por | licença | comentário | |
---|---|---|---|---|---|
23/12/2014 às 17:19 | histórico | editada | Largato♦ | CC BY-SA 3.0 |
adicionou 16 caracteres ao conteúdo
|
10/11/2014 às 10:03 | comentário | adicionado | jean | Discordo, no artigo tem técnicas ensinando como montar queries e quais são os pró e contra dessa abordagem além de outras idéias que podem ser exploradas como queries dinâmicas parametrizáveis. Sempre que você montar queries você está correndo o risco de SQL inject, sanitizar não é 100% seguro, existem técnicas para burlar a sanitização como mandar os códigos dos caracteres e corrigindo você: as queries chegam montadas à engine porém um SP já está compilada. Queries dinâmicas não paramétricas precisam ser recompiladas e não fazem bom uso de cache e estatísticas. Leia + | |
7/11/2014 às 19:20 | comentário | adicionado | Largato♦ | Não tem como usar um ataque de injeção, sendo que já está sanitizado. Li o artigo, principalmente no parágrafo que inicia a questão das condições dinâmicas de pesquisa, e ele não se aplica em nada ao nosso caso, tem certeza que leu direito? Inclusive, pelo jeito você não entendeu que condição dinâmica não é nada disso que eu fiz na resposta. Quando a query chega no engine SQL, ela está montada já. Para o engine, é uma query igual qualquer outra. Sugeriria começar pelo básico, e depois tentar se aprofundar nestes conceitos. | |
7/11/2014 às 19:12 | comentário | adicionado | jean | Tem todo proveito: Primeiro e mais importante barrar ataques de SQL Inject, segundo performance. Sugiro ler este artigo sobre como criar condições dinâmicas. sommarskog.se/dyn-search-2005.html#casestudy | |
7/11/2014 às 14:42 | comentário | adicionado | Largato♦ |
Sanitização foi feita já, leia melhor a resposta $palavra = mysql_real_escape_string($palavra); . Stored procedure não tem o mínimo proveito num caso desses.
|
|
21/10/2014 às 13:34 | comentário | adicionado | jean | Uma solução simples mas que infelizmente usa queries dinâmicas que não são recomendadas. Se for utilizar esta solução sugiro pelo menos sanitizar o input e se puder parametrizar a query (possivelmente usando Stored Procedure) | |
16/10/2014 às 17:13 | histórico | respondeu | Largato♦ | CC BY-SA 3.0 |