Tenho um arquivo que tem as operações do CRUD com PDO e MySQL, a minha dúvida é se caso eu deixe as minhas funções como a função abaixo:
function delete($tabela, $id) {
global $con;
$sql = "DELETE FROM " . $tabela . " WHERE id=:id";
if(is_array($id)){
$errors = array();
for($i = 0; $i < count($id); $i++){
$delete = $con->prepare($sql);
$delete->bindValue(":id", filter_var($id[$i], FILTER_SANITIZE_NUMBER_INT), PDO::PARAM_INT);
if ( !($delete->execute()) ) {
$error = $delete->errorInfo();
array_push($errors, $error[2]);
}
}
if(count($errors) == 0){
return true;
}else{
return $errors;
}
}else{
$delete = $con->prepare($sql);
$delete->bindValue(":id", filter_var($id, FILTER_SANITIZE_NUMBER_INT), PDO::PARAM_INT);
if ($delete->execute()) {
return true;
} else {
$error = $delete->errorInfo();
return $error[2];
}
}
}
Se eu deixar apenas dessa forma, corro o risco de algum usuário mal intencionado usar esse arquivo para deletar dados aleatórios do meu BD?
Sei que tem como passar parâmetros via POST
por exemplo externamente, mas minha função não recebe diretamente nada via POST
ou GET
.