6

Com crases a query é mais segura ou menos?

$Query = "Select * from `tabela` WHERE `id` = `1`";


vs

$Query = "Select * from tabela WHERE id = 1";
0

2 Respostas 2

13

Em relação a segurança, não, backticks não tem envolvimento algum com segurança.

Os backticks são usados caso você utilize alguma palavra reservada do MySQL ou quando tem espaço.

O primeiro exemplo do link já vai direto ao ponto:

mysql> CREATE TABLE interval (begin INT, end INT);
ERROR 1064 (42000): You have an error in your SQL syntax ...
near 'interval (begin INT, end INT)'

mysql> CREATE TABLE `interval` (begin INT, end INT);
Query OK, 0 rows affected (0.01 sec)
1
  • Em casos de espaços não pode ser usado as aspas? Alias, até onde conheço, nunca vi uma coluna com espaço no nome.
    – bruno101
    Commented 9/01/2019 às 18:02
11

Depende. Se você souber o que está fazendo, qualquer uma. Se não souber, é melhor a primeira, assim você evita conflitos que possam surgir e não sabe como resolver. Alguns programadores adotam esta forma por padrão, outros adotam a segunda forma e só quando precisa se utilizar do backtick, o nome correto disto, é que o usa.

Não dá mais segurança fazer isso, segurança vem de práticas corretas. Isso ajuda evitar certos tipos de conflitos ou inconsistências, como usar caracteres que podem confundir a sintaxe da query, o espaço por exemplo, ou palavras reservadas. Se você sabe e organiza bem os nomes das coisas, ele não ajuda muito.

Em alguns casos pode ajudar na segurança e evitar SQL injection mas não conte com isto para resolver este problema, esta medida pode ser contornada. O recurso não foi inventado para resolver problemas de segurança.

É bom saber que esta forma não está disponível em todos os bancos de dados. Se precisar usar a query para outro, pode ter problemas. Mas se precisa deste recurso, provavelmente terá vários outros.

Coloquei no GitHub para referência futura.

12
  • 1
    O que será que tem de errado na resposta? Ou será que foi voto negativo estratégico?
    – Maniero
    Commented 8/08/2015 às 18:48
  • 1
    Foi mal, esqueci de dar o motivo. Não foi estratégico ahahah Foi porque na minha opnião realmente se trata de uma resposta errada, porque não Depende de nada, existe um motivo claro para uso dos backticks e também não é uma questão de alguns programadores adotam esta forma por padrão, novamente, existe um motivo claro para seu uso, não é questão de padrão e sim de necessidade. Se não souber é melhor a primeira, não faz o menor sentido. =)
    – user3603
    Commented 8/08/2015 às 18:54
  • Como você disse, esta é a sua opinião. Talvez você não saiba que muitos programadores usam sempre para evitar problemas. E eles fazem isto porque não sabe o que está fazendo. O fato de você não saber disto não torna a resposta errada. A sua está mais errada porque a pergunta fala em segurança e você não toca no assunto. Você pinçou um trecho do texto para tirar do contexto e parecer que tem erro. A única coisa que ficou estranha é que eu não terminei a frase. Adicionei o exemplo para ficar mais claro do que estou falando, mas falei do problema que você se refere.
    – Maniero
    Commented 8/08/2015 às 19:05
  • Entendo seu ponto de vista mas ainda discordo :) Qual tipo de problemas um programador evitar usando backticks a não ser o único motivo pelo qual eles existem? Se o programador não sabe o que esta fazendo, ele não esta fazendo, esta copiando, o que em sí já é um grande erro, se não sabe, o programador deve ler e entender. Minha resposta não esta mais errada porque ela explica o real uso dos backticks que no caso, não tem nada a ver com segurança, por isso não toquei no assunto. Pela pergunta se entende que o usuário não sabe o uso do backtick daí a minha resposta, ao invés de...
    – user3603
    Commented 8/08/2015 às 19:09
  • 1
    Sem entrar na discussão, mas creio que a resposta aborda todos os pontos e contrapontos do uso dos backticks. Negativação por conta da opinião acerca de depender ou não do uso, é um tanto radical. Commented 8/08/2015 às 22:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .