0

Oi,

Eu tenho um 3 inputs de pesquisas que fazem consultas ao banco de dados e me retornam os dados obtidos. Com isso um usuário mal intencionado pode burlar o meu sistema e obter outras informações.

Analisando o comportamento que uso para o usuário interagir com meu sistema, como poderia me prevenir contra esses ataques?

    $numeros = $request->getParameter('campoPesquisaNumero');
    $anos = $request->getParameter('campoPesquisaAno');
    $ementas = $request->getParameter('campoPesquisaEmenta');

    if($numero !== '' || $ano !== '' || $ementa !== '')
    {
          $pesquisar = Doctrine::getTable('tblicitacoes')
                          ->createQuery('l')
                          ->select('l.*')
                          ->where('l.numero LIKE \'%' . $numero . '%\' AND l.ano LIKE \'%' . $ano . '%\' AND l.ementa LIKE \'%'. $ementa .'%\' ')
                          ->andWhere('l.publicar = 1 OR l.publicar = "Y"')
                          ->orderBy('l.licitacoes_data DESC')
                          ->execute();
    }
1

1 Resposta 1

0

Coloque as condições para os LIKEs como argumentos no método execute:

$pesquisar = Doctrine::getTable('tblicitacoes')
    ->createQuery('l')
    ->select('l.*')
    ->where('l.numero LIKE ? AND l.ano LIKE ? AND l.ementa LIKE ?')
    ->andWhere('l.publicar = 1 OR l.publicar = "Y"')
    ->orderBy('l.licitacoes_data DESC')
    ->execute(['%' . $numero . '%', '%' . $ano . '%', '%' . $ementa . '%']);

Dessa forma, o Doctrine sabe lidar com eventuais ataques do tipo SQL injection.

1
  • 1
    dessa maneira a query ficou bem melhor mesmo. ainda não fiz teste muito rígidos, mas até agora eu não consegui burlar a query. 19/11/2015 às 19:23

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .