Tratar as variáveis de entrada em uma consulta no MySQL usando filter_var é suficiente para evitar injection?
3 Respostas
Não o filter_var() é util para fazer alguns tipos de validações como
- Está vazio?
- É numérico?
- É um IP? (entre outros)
Para evitar sql injetction use a função mysqli_real_escape() se você estiver utilizando a classe mysqli
Ou use prepared statements se estiver usando a classe PDO
-
Ele não faz só validações. Depende do uso. Pode ser validação ou "limpeza". Eu só não sei se a limpeza é suficiente. Mas o uso do mysqli_real_escape é boa dica, mesmo. 23/06/2016 às 13:43
-
pode usar prepared statements com mysqli também. No mysqli, os prepared statements são nativos, no PDO por padrão são só simulados do lado do cliente com concatenação de strings, o que além de baixar a performance, elimina a razão dos prepareds statements existirem, que é o reaproveitamento.– Square Obama ♦25/06/2016 às 19:50
Não. O filter_var
tem como finalidade validar e filtrar campos. O seu objetivo principal não é evitar ataques específicos de SQL Injection, mas apenas fazer sanitização de dados.
É claro que, para alguns casos, ela pode realmente ser útil para você validar e filtrar dados que serão usados na sua consulta.
Por exemplo:
$id = filter_var($_GET['id'], FILTER_VALIDATE_INT);
$id === false && die("O valor do ID não é válido");
$sql = "SELECT * FROM usuarios WHERE id = {$id}"
Creio que os prepared statments do PDO pode ser uma boa solução para diminuir os riscos de você deixar o seu código vulnerável.
No meu caso, eu prefiro utilizar bibliotecas que trabalham com dados de banco de dados (como Doctrine, Eloquent, Readben), já que no desenvolvimento das mesmas há uma preocupação em não permitir esse tipo de ataque.
Outra coisa também é não confiar na boa intenção do usuário. Se seu código é mal escrito também pode ser um problema que não vai ser resolvido nem com funções de sanitização de dados.
Não vou falar muito pois creio que já temos bons conteúdos aqui no site referente a "evitar esse ataque".
Links:
Eu uso uma função super básica que simplesmente pega o ' (apóstrofo) e substitui por dois apostrofos (''), e pega o (barra invertida) e substitui por \. Assim não há como haver injection.
-
2Eu acho legal vc querer ajudar compartilhando sua experiência, mas no caso específico, sua solução está completamente equivocada e seus códigos continuam vulneráveis. Sugiro aprender a proteger o código usando o caminho correto, que são as funções próprias da interface com o DB. Aqui tem um ponto de partida: pt.stackoverflow.com/questions/3864/70– Square Obama ♦25/06/2016 às 19:53
-