Skip to main content
4 de 5
adicionou 125 caracteres ao conteúdo
Maniero
  • 484,5mil
  • 94
  • 1,3mil
  • 2,2mil

Isto não é seguro. Especialmente se não estiver MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria documentação da função indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.

Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. mysqli_real_escape_string() deve ser usada no lugar, dependendo da forma como está se comunicando com o MySQL. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código e sabe evitar a injeção de um jeito adequado. Existem outras formas possíveis.

Existe uma página bem conhecida que mostra uma forma de ataque injetando SQL fazendo fazendo escape com barra.

Coloquei no GitHub para referência futura.

Maniero
  • 484,5mil
  • 94
  • 1,3mil
  • 2,2mil