0

Tenho este código para inserir:

$name = isset($_POST["DescricaoProd"]) ? $_POST["DescricaoProd"] : '';
$unid = isset($_POST["DescricaoUnid"]) ? $_POST["DescricaoUnid"] : '';
if (!empty($name) && !empty($unid)) {  
    echo 'true';
} else {
    echo 'false';
}    
$sql = "INSERT INTO ProdHigieneteste (DescricaoProd,DescricaoUnid) 
VALUES ('$name','$unid')";
if ($conn->query($sql) === TRUE);
$sql1 = "INSERT INTO StockHigieneteste (DescricaoProd,DescricaoUnid) 
VALUES ('$name','$unid')";
if ($conn->query($sql1) === TRUE);
    //Count total number of rows
    $rowCount = $query->num_rows;   
$conn->close(); 

Queria proteger de sql injection, alguém pode ajudar?

2

2 Respostas 2

1

Tente isto

//trim ignora uso de espaço antes e depois da palavra ou frase
          //strip_tags não interpreta o uso de tags dentro do input
         $nome = trim(strip_tags($_POST['nome']));
         $cronica = trim(strip_tags($_POST['cronica']));
         $sintomas = trim(strip_tags($_POST['sintoma']));
         $descri = trim(strip_tags($_POST['desc']));
         $insert = "INSERT INTO tb_doenca(nome_doenca,doenca_cronica,sintomas_doenca,desc_doenca) VALUES (:nome,:cronica,:sintomas,:descri)";

         try{
          //Proteção contra SQLINJECT
          $result = $con->prepare($insert);
          $result->bindParam(':nome',$nome,PDO::PARAM_STR);
          $result->bindParam(':cronica',$cronica,PDO::PARAM_STR);
          $result->bindParam(':sintomas',$sintomas,PDO::PARAM_STR);
          $result->bindParam(':descri',$descri,PDO::PARAM_STR);
          $result->execute();

Peguei de um código que tinha antes... tente fazer substituindo os valores

1

Não sou especialista em Proteção para SQL Injection, mas vou compartilhar um código que me ajudou bastante.

function protect( &$str ) {
 /*** Função para retornar uma string/Array protegidos contra SQL/Blind/XSS Injection*/
        if( !is_array( $str ) ) {                      
                $str = preg_replace( '/(from|select|insert|delete|where|drop|union|order|update|database)/i', '', $str );
                $str = preg_replace( '/(&lt;|<)?script(\/?(&gt;|>(.*))?)/i', '', $str );
                $tbl = get_html_translation_table( HTML_ENTITIES );
                $tbl = array_flip( $tbl );
                $str = addslashes( $str );
                $str = strip_tags( $str );
                return strtr( $str, $tbl );
        } else {
                return array_filter( $str, "protect" );
        }
}

Basta filtrar todos os dados vindos do $_POST e $_GET

1
  • e nesse caso é só colocar a função dentro do php onde tenho o código e protege?
    – Bruno
    Commented 24/05/2018 às 13:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .