4

Estou a desenvolver um projeto que envolve palavras pass entre outras infomações importante que preciso de inserir na base de dados mysql.

A minha dúvida é qual a opção que devo usar para escapar esses dados contra sql injection. Neste momento estou a usar uma expressão regular que retira os caractéres indesejados. Estou a usar o PDO.

1
  • Para inserir dados no banco de dados, usa o mysql_real_escape_string, depois se possível explico melhor o porquê. Aproveita e lê isto - Porquê não usar funções mysql_*
    – Edilson
    Commented 11/11/2015 às 13:22

1 Resposta 1

2

mysql_real_scape_string() deve ser descartada por ser obsoleta, removida do php7 e por necessitar de uma conexão mysql_*.

Deixe que o PDO se encarregue de escapar os caracteres utilizando prepared statements.

Leitura recomendada:

Usar o addslashes contra injeção de SQL é seguro?

Como prevenir injeção de código SQL no meu código PHP

Usar PDO é a maneira mais segura de se conectar a um BD com PHP?

2
  • Eu estive a ler um pouco sobre o addslashes e fiquei na dúvida porque havia um artigo que explicava que esse método não era seguro. Daí a minha dúvida. Commented 11/11/2015 às 13:25
  • Usar o addslashes é quase a mesma coisa que forçar a utilização do quotes no PDO, é mais ou menos esta a ideia.
    – Edilson
    Commented 11/11/2015 às 14:16

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .