2

texto grifadoOlá, estou estudando PHP e, quanto a POO juntamente com PDO, tenho a seguinte dúvida: Sempre vejo nos artigos a esse respeito, que fazer uso da declaração PDO:prepare ajuda a dificultar ou até "impedir" as perigosas SQL Injection´s (a esta prática chamamos de Prepared Statements ou Declaçacoes Preparadas) pois, como explicam por aí, caso o sistema esteja vinculando a consulta SQL à variáveis buscadas de um formulário de entrada, que favorece às injeções SQL, então, pelo uso do prepare, a instrução SQL não mais estaria vulnerável pois primeiro o programa faz uma declaração temporária, com uso do operador ":identifier" no SELECT, para depois, pelo método execute, informar num array ou um objeto, qual o valor da variável que o prepare aguarda para substituir pelo ":identifier", e enfim, executar a instrução SQL. Pergunto: se o valor colocado para preencher o ":identifier" esperado pelo prepare for também um valor vindo de um "$_GET" ou "$_POST", por exemplo, admitido no formulário pelo usuário, isso não torna a instrução SQL, rodada no método execute, também vulnerável? Ainda não consegui entender qual a diferença entre rodar a instrução com ou sem prepare, sendo que muitas vezes o conteúdo da variável posta no ":identifier" do prepare será preenchida pelo que o usuário informar! Ou será que mudamos a entrada do usuário de alguma forma e eu não entendi como isso ocorre? Desculpem se parece uma pergunta muito principiante e/ou até de resposta fácil (talvez seja um cisco em meus olhos, para não enxergar o óbvio), mas é que nos artigos que li não explicam exatamente como o prepare tira o risco de uma injeção SQL (como muda o texto entregue pelo usuário).

4
  • Basicamente porque é passado um valor. No caso do SQL concatenado "na mão", a string é interpretada como SQL, e não como valor.
    – Largato
    Commented 2/11/2017 às 17:40
  • Em outras palavras, ele não precisa mudar o texto, justamente porque naquele momento ele é apenas um valor, O SQL já foi processado antes do valor ser usado. Mas isso em engines nativos, como o MySQLi. O PDO na verdade em muitos casos concatena a string e apenas filtra os dados (depende da configuração). Antes era só simulado por padrão, não sei se hoje já fizeram coisa melhor.
    – Largato
    Commented 2/11/2017 às 17:51
  • Bacco, entendi que o PDO (mysqli também) pega o [valor] da variável e não da [string] em si, mas minha dúvida é justamente, quando ele pega um valor que é um texto, por exemplo: 1); DROP TABLE xxxxxx; então, esse valor, que é texto, irá ser juntado à instrução de consulta, e é esse ponto que não entendo como deixaria de formar um texto malicioso?
    – Fernandes
    Commented 2/11/2017 às 22:35
  • Não tem problema o texto ser malicioso se ele não vai ser executado. Quando você passa um valor, a query já foi lida e interpretada. O que é "comando" já foi convertido em instruções. O texto "malicioso" vai ser passado para o servidor SQL só depois dessa fase de interpretação, e vai ser um mero texto. E o PDO não faz isso que você está falando, a não ser em determinadas condições. Veja as respostas da outra pergunta linkada acima, que tem detalhes sobre isso.
    – Largato
    Commented 3/11/2017 às 7:42

0

Pesquise outras perguntas com a tag .