3

Estou procurando uma função que identifique (retornar verdadeiro) se houver uma função MySQL em uma string. Estes seriam alguns exemplos de possibilidade de entrada para função.

<?php

$randomstrings = [
    "foo", //String comum
    "NOW()", //Função sem parâmetros
    "CONCAT_WS('foo','doo','boo')", //fun. com parâmetros
    "ST_AsText(ST_GeomFromGeoJSON('{\"type\":\"Point\",\"coordinates\":[-48.23456,20.12345]}'))", //Funções dentro de funções
    "ST_AsText(ST_GeomFromGeoJSON(@json))", //Variávies dentro da função
    "patrimony", //Não identificar paTRIMony como a function TRIM()
]

 foreach ($randomstrings as $value) {
 $functionList = array('LOAD_FILE', 'sql_to_decimal', '@userid', 'COALESCE', 'getVersaoEO', 'getPessoaById', 'CONVERT', 'IS NULL', 'IS NOT NULL',
            'ST_GeomFromText', 'ST_AsGeoJSON', 'ST_GeomFromGeoJSON', 'ST_AsText', 'CONCAT_WS', 'CONCAT', /*'TRIM',*/ 'json_extract', 'JSON_OBJECT', 'CURRENT_TIMESTAMP');
        foreach ($functionList as $function) {

            $find = strpos(strtolower($value), strtolower($function));
            if (!($find === false)) {
                return true;
            }
        }
 }

Acredito que isso possa ser feito com expressões regulares ou alguma outra função de comparação.

1
  • Apenas como nota, essa função não deve ser utilizada para barrar algum tipo de SQL-Injection. O propósito dela é apenas identificar dentro de uma string se há a ocorrência de um caracter especifico em formato de função ou variável MySQL. Commented 12/07/2017 às 20:25

1 Resposta 1

2

Se quiser apenas saber se uma ou mais funções existem na string, pode montar um regex procurando pelo termo exato com a âconra \b. Ao colocar um termo entre \b significa que está procurando por uma palavra completa e não um trecho, por isso não captura patrimony mesmo tendo o termo TRIM no meio/dentro.

$randomstrings = [
        "foo", //Non-function strings
        "NOW()", //Without parameters
        "CONCAT_WS('foo','doo','boo')", //With parameters
        "ST_AsText(ST_GeomFromGeoJSON('{\"type\":\"Point\",\"coordinates\":[-48.23456,20.12345]}'))", //Maybe functions inside functions
        "ST_AsText(ST_GeomFromGeoJSON(@json))", //Variables as parameters
        "patrimony", //Do not identify paTRIMony as  a function TRIM()
];

$functionList = array('LOAD_FILE', 'sql_to_decimal', '@userid', 'COALESCE', 'getVersaoEO', 'getPessoaById', 'CONVERT', 'IS NULL', 'IS NOT NULL','ST_GeomFromText', 'ST_AsGeoJSON', 'ST_GeomFromGeoJSON', 'ST_AsText', 'CONCAT_WS', 'CONCAT', /*'TRIM',*/ 'json_extract', 'JSON_OBJECT', 'CURRENT_TIMESTAMP');

foreach ($randomstrings as $value) {
    foreach($functionList as $function){
        if(preg_match("#\b$function\b#i", $value)){
            echo 'procurou por: '. $function  .' acho em: '. $value .'<br>';
        }
    }
}

Retorna:

procurou por: CONCAT_WS acho em: CONCAT_WS('foo','doo','boo')
procurou por: ST_GeomFromGeoJSON acho em: ST_AsText(ST_GeomFromGeoJSON('{"type":"Point","coordinates":[-48.23456,20.12345]}'))
procurou por: ST_AsText acho em: ST_AsText(ST_GeomFromGeoJSON('{"type":"Point","coordinates":[-48.23456,20.12345]}'))
procurou por: ST_GeomFromGeoJSON acho em: ST_AsText(ST_GeomFromGeoJSON(@json))
procurou por: ST_AsText acho em: ST_AsText(ST_GeomFromGeoJSON(@json))

Relacionado:

Pra que serve um boundary (\b) numa expressão regular?

4
  • @LeonanCarvalho quando o now está na lista de funções e na lista de strings está como NOW() ou NOW () ele falha? Nas lista de funções só deve ir o nome. Não entendi muito bem.
    – rray
    Commented 12/07/2017 às 18:51
  • Por exemplo, se eu escrever "NOW()" e talvez por "NOW ()" com um espaço entre o início do parênteses eu teria que ter ambas formas na minha lista de funções, haveria uma fora de opicionalmente ele procurar pelas duas formas usando o mesmo item da lista? Commented 12/07/2017 às 18:54
  • 1
    @LeonanCarvalho uma opção é guardar todos os nomes de funçõe sem os parenteses e na hora de fazer a regex adicionar essa regra. A regex fica: #\b$function\b\s*\(#i ela fiz procure o nome da função seguido ou não de espaços tab em qualquer quantidade seguido de um abre parentese.
    – rray
    Commented 12/07/2017 às 19:02
  • Entendi, nesse caso farei 2 arrays, um para palavras e um para funções e aplicarei a segunda regex para que valide também o "(". Commented 12/07/2017 às 20:24

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .