Eu faria conforme o marcio Simao propôs, usando PDO, mas se no seu caso for complexo mudar todo o codigo de mysqli para PDO, segue abaixo, uma alternativa:
<?php
class DB{
private $conn;
public function getConnection(){
$this->conn = new mysqli("localhost", "root", "", "mvc");
}
public function execReader($SQL){
return $this->conn->query($SQL);
}
}
$id = filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT);
$SQL = "SELECT * FROM produtos WHERE id = ". addslashes($id);
$DB = new DB();
$DB->getConnection();
$query = $DB->execReader($SQL);
if ($query == 0) {
header('Location: 404.php');
exit();
}
$vo = new ProdutoVO();
while($reg = $query->fetch_array(MYSQLI_ASSOC)){
$vo->setId($reg["id"]);
$vo->setNome($reg["nome"]);
$vo->setMarca($reg["marca"]);
$vo->setPreco($reg["preco"]);
}
var_dump($vo);
?>
$id = mysql_real_escape_string( $_GET['id'] );
e fazer isso em todos os parâmetros que já resolve o problema do injection. Depois, para o código ficar mais elegante, até pode usar prepared statements se quiser, em vez do escaping. E se não pretende trocar de base de dados, melhor ficar no mysqli mesmo. Não tem necessidade nenhuma de usar camadas intermediárias e simulação de recursos, como outras libs da moda fazem. Lembrando que prepared statements foram feitos para performance em loops, a proteção é só um "brinde".mysqli_real_escape_string()
ficar seguro, lembrem se-de usarmysqli_set_charset()
antes, setando para um desses 3 parâmetros:utf8
,latin1
ouascii
, senão alguns caracteres especiais podem "vazar" e ainda permitir algum ataque (se bem que o bug apontado é pramysql
e nãomysqli
, mas não custa nada fazer certo).