Desenvolvi uma página em PHP para uso interno da empresa que trabalho e apenas pouquíssimas pessoas a utilizam. Através dessa página é possível fazer algumas consultas, inserções, alterações e remoções de dados de uma tabela em um banco de dados MySQL, porém eu acredito que meu código em PHP não está protegido contra injeção de código SQL, por exemplo:
//----CONSULTA SQL----//
$busca = mysql_query ('insert into Produtos (coluna) values(' . $valor . ')');
Logo, digamos que o usuário usar a sentença: 1); DROP TABLE Produtos;
para ao campo valor
o comando ficaria:
insert into Produtos (coluna) values(1); DROP TABLE Produtos;
Ele vai inserir um novo registro cujo o campo coluna
será 1
e logo em seguida ele vai deletar a tabela Produtos
.
Como posso melhorar meu código para prevenir essa situação?