-1

Estou com a seguinte dificuldade, na minha aplicação, ao executar a função de cadastrar, quando digito algum texto com aspas simples inclusa, a query não funciona.

Segue abaixo o código:

Aqui eu pego os valores passados pelo controller, usando o __get().

PortfolioDAO.php:

public function alterarPortfolio(Portfolio $portfolio)
{
    $alterar_imagem = ($portfolio->__get('imagem') != '' ? ", imagem = '{$portfolio->__get('imagem')}'" : '');

    $values = "
                empresa = '{$portfolio->__get('empresa')}',
                link = '{$portfolio->__get('link')}',
                tipo_servico = '{$portfolio->__get('tipo_servico')}'
                {$alterar_imagem}
            ";

    $this->alterar($portfolio->__get('id'), $values);
}

Aqui está a query:

Model.php:

public function alterar($id, $values)
{
    $query = "UPDATE {$this->tabela} SET {$values} WHERE id = {$id}";
    $stmt = $this->db->prepare($query);
    echo $query;
    $stmt->execute();
}

Lembrando que, o cadastro de dados ocorre normalmente, o problema é quando adiciono uma aspas simples no input.

1
  • 1
    Enviei uma resposta, mas também lhe sugiro pesquisar sobre sql injection. Pois, esse tipo de implementação pode gerar vulnerabilidades de segurança.
    – phduarte
    Commented 19/12/2020 às 3:52

1 Resposta 1

-1

Basicamente, o problema é resolvido substituindo as aspas simples por duas aspas, ex: str_replace("'", "''", "Joana D'arc"), provavelmente seu caso a alteração será semelhante à:

    $values = "
                empresa = '{str_replace("'", "''", $portfolio->__get('empresa'))}',
                link = '{str_replace("'", "''", $portfolio->__get('link'))}',
                tipo_servico = '{str_replace("'", "''", $portfolio->__get('tipo_servico'))}'
                {$alterar_imagem}
            ";

No entanto, já existe uma função para isso mysql_real_escape_string. Recomendado o uso da função, uma vez que ela irá lidar também com demais caracteres perigosos.

$query = sprintf("UPDATE XPTO SET value1='%s' WHERE id='%s'",
            mysql_real_escape_string($newValue1),
            mysql_real_escape_string($currentId));

para mais informações de como usar a função visite https://www.php.net/manual/en/function.mysql-real-escape-string.php

3
  • Olha, usando essa alteração que você fez, a query que é enviada para o banco é essa: UPDATE portfolio SET empresa = mysql_real_escape_string('Art's Depilação & Estética'), link = mysql_real_escape_string('artsdepilacaoeestetica.com.br/'), tipo_servico = mysql_real_escape_string('1') WHERE id = 3 , sobre a questão do sql injection, realmente, minha aplicação é bem vulnerável, estou com menos de um ano de estudos usando php, se você tiver alguma indicação de cursos onde eu possa está aprendendo mais, agradeço. Commented 19/12/2020 às 17:49
  • Você tem razão o código estava errado. Realizei a correção, porém estou sem ambiente para testar aqui. Sobre SQL Injection, é um tipo de ataque que explora a passagem de parâmetros SQL usando aspas e outros caracteres como "--" para tentar ganhar acesso à informações sobre banco de dados, tem muito conteúdo gratuito pela web e um curso na Alura sobre segurança em aplicações web.
    – phduarte
    Commented 19/12/2020 às 20:08
  • Ainda não funcionou haha, mas eu acabei de decidir aqui, vou criar tudo do zero, implementando toda a questão de segurança relacionada ao sql injection e usar funções mais recentes para o crud. Valeu pela ajuda irmão. Commented 20/12/2020 às 15:52

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .