Se pode ocorrer ou não eu não sei responder, vai depender da framework utilizada. Mas evitar deve ser bem mais fácil, é só validar o campo, ver se seu formato corresponde àquilo que você espera dele (e que portanto não vai conter código malicioso, ou qualquer código que seja, e sim dados).
Seu campo $where
é composto da concatenação de $nome
e $valor
, certo? Um nome normalmente é composto de letras, números e underscore (_
). Um valor normalmente é composto de dígitos, talvez um menos na frente e talvez um ponto. E eu estou supondo que você os concatena usando um =
, certo? Então:
Valide o $nome
como sendo um nome; mesmo que ele venha do seu próprio código (não custa nada, fica como "teste de sanidade":
if (preg_match("/^\w+$/", $nome)) {
...
} else {
/* Não continue! Reporte um erro! */
}
Valide o $valor
como sendo um número; o exemplo abaixo é para um decimal simples, em formato brasileiro/europeu (não americano), ajuste-o de acordo com suas necessidades:
if (preg_match("/^-?\d+(\.\d{3})*(\,\d+)?$/", $valor)) {
...
} else {
/* Não continue! Reporte um erro! */
}
Concatene $nome
e $valor
; não use aspas em volta do número:
$condicao = $nome . " = " . $valor
Alternativamente, se o $valor
é uma string que pode conter -
e /
, além de letras, números e underscore (e só isso):
if (preg_match("/^(\w|\/|-)+$/", $valor)) {
E para concatenar:
$condicao = $nome . " = '" . $valor . "'"
No caso, sabemos que nem -
nem /
quando dentro de uma string são suficientes para causar problemas (uma aspa ou talvez uma \
seriam), e como não está sendo usado um LIKE
(caso em que _
seria um problema), então deve ser seguro.
Etc. Se $nome
possui um valor correto, $valor
possui um valor correto, a concatenação possui a sintaxe correta, e todos os elementos do seu array $where
foram montados da forma correta, então não há por onde uma Injeção de SQL ocorrer. Tenham os componentes sido "escapados" ou não, não faz diferença, pois o escape os deixará inalterados.
Validar os valores é uma alternativa melhor do que aceitar qualquer formato de entrada e tentar sanitizá-la. Inclusive, sanitizar algo que não se sabe o que é é temerário (vai que você "escapou" corretamente na hora de colocar no banco, mas ao tirar dele - e "desescapá-lo" - você o incluiu no HTML de resposta, sem nenhuma checagem, o resultado será um XSS ou similar...). Use essa estratégia sempre que o formato dos dados de entrada for previsível e bem definido, e só terá de se preocupar com os campos mais abertos (texto livre, por exemplo).
mysqli_*
acho que não. Pelo sim, pelo não, eu escapava esse input só para não ter surpresas ao fim do dia :)$where
sejam dados mesmo, não código. Mas não sei se é "à prova de balas" (e de todo modo, se esses dados já estiverem sendo escapados escapar de novo vai provocar um duplo escape, o que é ruim). De onde está vindo o valor de$where
? Do usuário?