2

Tenho um arquivo que tem as operações do CRUD com PDO e MySQL, a minha dúvida é se caso eu deixe as minhas funções como a função abaixo:

    function delete($tabela, $id) {
    global $con;
    $sql = "DELETE FROM " . $tabela . " WHERE id=:id";
    if(is_array($id)){
         $errors = array();
         for($i = 0; $i < count($id); $i++){
             $delete = $con->prepare($sql);
             $delete->bindValue(":id", filter_var($id[$i], FILTER_SANITIZE_NUMBER_INT), PDO::PARAM_INT);
             if ( !($delete->execute()) ) {
                 $error = $delete->errorInfo();
                 array_push($errors, $error[2]);
             }
         }

         if(count($errors) == 0){
             return true;
         }else{
             return $errors;
         }

    }else{
        $delete = $con->prepare($sql);
        $delete->bindValue(":id", filter_var($id, FILTER_SANITIZE_NUMBER_INT), PDO::PARAM_INT);
        if ($delete->execute()) {
            return true;
        } else {
            $error = $delete->errorInfo();
            return $error[2];
        }

    }

}

Se eu deixar apenas dessa forma, corro o risco de algum usuário mal intencionado usar esse arquivo para deletar dados aleatórios do meu BD?

Sei que tem como passar parâmetros via POST por exemplo externamente, mas minha função não recebe diretamente nada via POST ou GET.

1 Resposta 1

3

Costumo sempre responder que segurança é multidisciplinar e extramente complicado. Se quer segurança mesmo chame um especialista. Minha inferência é que a imensa maioria dos sites e aplicativos têm problemas de segurança. Só cuidar do código não quer dizer nada. Mesmo que siga certas regras não garante que está seguro, apenas que não está tão escancarado.

Dito isto, parece estar ok, desde que a variável $tabela não tenha seu valor definido de forma externa aos scripts e não tenha outros fatores de vulnerabilidade.

Só não ache que está livre de outros problemas. Outro dia alguém perguntou como fazer para não aceitar que alguém mande uma informação mal formada, que mande um id diferente, e a resposta é simples: não tem o que fazer a não ser validar a informação antes de usá-la e só permitir que usuários autorizados façam isto. Se falhar nisto de nada adianta este código estar seguro.

2
  • Eu sei disso @Maniero, afinal nem a nasa e sites de bancos que tem especialistas encarregados somente da segurança, escapam de vez em quando de uma invasãozinha kkkk. Mas eu quero saber mesmo em questão da função, e quando você diz "desde que a variável $tabela não tenha seu valor definido de forma externa" você está querendo se referir a passar o nome da tabela por exemplo por GET ou POST certo? Commented 24/09/2017 às 22:54
  • 1
    Tenho minhas dúvidas se possuem especialistas em segurança de verdade :) Vejo coisas erradas em sites de grandes corporações que eu que não sou especialista sei que é errado :) Falo de vir de qualquer fonte externa, principalmente pelo GET e POST.
    – Maniero
    Commented 24/09/2017 às 22:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .