0

Estou desenvolvendo uma aplicação com PDO, e uso normalmente o bindValue() para executar os SELECT's, mas estou desenvolvendo uma aplicação que recebe uma variável que contém números e vírgula, que posteriormente serão explodidos.

O que queria saber é: Dessa forma é segura para evitar ataques, senão, como seriam efetuados esses ataques?

$categories = '10,12,22,123,120'; # ESSES SÃO OS ID'S DAS CATEGORIAS DESEJADAS
$category = explode(',', $categories);
for ($i = 0; $i < count($category); $i++) {
    if (is_numeric($category[$i]) {
        $this->condition .= "categoryName = '{$category[$i]}'";
        if ($i < count($category) - 1) {
            $this->condition .= ' AND ';
        }
    }
}
2
  • 1
    O que não faz sentido é usar uma única coluna para armazenar vários valores. O is_numeric permite números gigantes, maiores do que o máximo do uint64, o que pode ser um problema. Além disso, ele permite float.
    – Inkeliz
    Commented 18/12/2017 às 14:27
  • Na verdade é uma tabela auxiliar para fazer um SELECT de muitos para muitos, o is_numeric serve para autenticar. Commented 18/12/2017 às 14:29

1 Resposta 1

0

Como é somente número, creio que não seja possível fazer ataque com SQL Injection, mas para tirar qualquer dúvida você pode fazer esse processo utilizando o bindValue(). Basta utilizar parâmetros nomeados:

$categories = '10,12,22,123,120';
$category = explode(',', $categories);
for ($i = 0; $i < count($category); $i++) {
    if (is_numeric($category[$i]) {
        $this->condition .= "categoryName = :category{$i}";
        if ($i < count($category) - 1) {
            $this->condition .= ' AND ';
        }
    }
}
$query = $sua_conexao_pdo->prepare($variavel_com_select." ".$this->condition);
for ($i = 0; $i < count($category); $i++) {
    if (is_numeric($category[$i]) {
        $query->bindValue(":category{$i}", $category[$i], PDO::PARAM_INT);
    }
}
$query->execute();

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .