Skip to main content
7 eventos
quando alternar formato o que por licença comentário
23/12/2014 às 17:19 histórico editada Largato CC BY-SA 3.0
adicionou 16 caracteres ao conteúdo
10/11/2014 às 10:03 comentário adicionado jean Discordo, no artigo tem técnicas ensinando como montar queries e quais são os pró e contra dessa abordagem além de outras idéias que podem ser exploradas como queries dinâmicas parametrizáveis. Sempre que você montar queries você está correndo o risco de SQL inject, sanitizar não é 100% seguro, existem técnicas para burlar a sanitização como mandar os códigos dos caracteres e corrigindo você: as queries chegam montadas à engine porém um SP já está compilada. Queries dinâmicas não paramétricas precisam ser recompiladas e não fazem bom uso de cache e estatísticas. Leia +
7/11/2014 às 19:20 comentário adicionado Largato Não tem como usar um ataque de injeção, sendo que já está sanitizado. Li o artigo, principalmente no parágrafo que inicia a questão das condições dinâmicas de pesquisa, e ele não se aplica em nada ao nosso caso, tem certeza que leu direito? Inclusive, pelo jeito você não entendeu que condição dinâmica não é nada disso que eu fiz na resposta. Quando a query chega no engine SQL, ela está montada já. Para o engine, é uma query igual qualquer outra. Sugeriria começar pelo básico, e depois tentar se aprofundar nestes conceitos.
7/11/2014 às 19:12 comentário adicionado jean Tem todo proveito: Primeiro e mais importante barrar ataques de SQL Inject, segundo performance. Sugiro ler este artigo sobre como criar condições dinâmicas. sommarskog.se/dyn-search-2005.html#casestudy
7/11/2014 às 14:42 comentário adicionado Largato Sanitização foi feita já, leia melhor a resposta $palavra = mysql_real_escape_string($palavra);. Stored procedure não tem o mínimo proveito num caso desses.
21/10/2014 às 13:34 comentário adicionado jean Uma solução simples mas que infelizmente usa queries dinâmicas que não são recomendadas. Se for utilizar esta solução sugiro pelo menos sanitizar o input e se puder parametrizar a query (possivelmente usando Stored Procedure)
16/10/2014 às 17:13 histórico respondeu Largato CC BY-SA 3.0