0

Para que serve GetSQLValueString? E se há uma diferença para o PHP7, que diferença essa função faz? O que acontece se eu não usar? Alguém pode me ajudar a entender isso melhor?

if (!function_exists("GetSQLValueString")) 
{
    function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") 
    {
        if (PHP_VERSION < 6) {
            $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;
        }

        $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

        switch ($theType) {
            case "text":
            $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
            break;    
            case "long":
            case "int":
            $theValue = ($theValue != "") ? intval($theValue) : "NULL";
            break;
            case "double":
            $theValue = ($theValue != "") ? doubleval($theValue) : "NULL";
            break;
            case "date":
            $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
            break;
            case "defined":
            $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;
            break;
        }
        return $theValue;
    }
}

Depois disso, há uma seção que usa essa função.

if($cod_u > 0){
    $updateSQL = sprintf("UPDATE usuario SET cod_id=%s, nome=%s, sexo=%s   WHERE cod_u=%s",
     GetSQLValueString( utf8_decode($_POST['cod_id']), "int"),
1

1 Resposta 1

1

Não sei o motivo do Dreameaver criar esta função (não o utilizo), mas ela faz o seguinte:

Recebe um valor ($theValue) e passa pela função mysql_real_escape_string, que faz algumas verificações e mudanças no texto da variável para tornar impossível ataques de SQL Injection.

Em seguida verifica qual tipo de dado você está tentando inserir no banco transforma o texto para o formato válido para executar uma query no banco.

Por exemplo, se o $theType for "text" ela pega o valor e concatena aspas simples antes e depois do texto, se for "int" ela utiliza a função intval para passar apenas o valor numérico, etc. Caso não haja nada na variável $theValue ela a transforma em NULL para inserir o campo vazio no banco.

O Dreamweaver parece estar utilizando o cliente mysqli, que é uma forma bem antiga de se conectar ao banco de dados. O padrão mais moderno e recomendado é a utilização do PDO, que é orientado a objeto e possui maior segurança.

Respondendo a pergunta E o que acontece se eu não usar?: Se você recebe o valor diretamente do browser e não utiliza uma função de escape dos caracteres fica vulnerável a ataques. Veja a documentação do mysql_real_escape_string.

Edit: Correção: O mysqli é seguro e rápido (mais rápido do que o PDO em certos casos), na verdade é o mysql que está depreciado.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .