2

Estou com dúvidas sobre SQL Injection em PHP. Eu tenho uma classe que tem o objeto usuário, e aí tem nome, idade, etc.

Depois eu coloco na variável query algo como:

insert into tb_usuarios(nome)values('$this->nome');

Com certeza tem risco de sofrer SQL injection né? Eu li sobre mysqli_real_escape_string e dizem que não é totalmente seguro.

Alguém pode me dar uma luz?

0

1 Resposta 1

0

A forma para escapar string é dependendo de qual método você está utilizando para inserir os dados no banco.

Se for PDO, é colocando valores em bind:

$stmt = $conn->prepare("INSERT INTO tb_usuarios (nome) VAUES(:nome);");
$stmt->bindValue(":nome", $this->nome);
$stmt->prepare();

Caso seja a classe mysqli(), você deve utilizar assim:

$nome = $conn->real_escape_string($this->nome);
$conn->query("INSERT INTO tb_usuarios (nome) VAUES('$nome');");

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .