Mysql
 sql >> Base de Dados >  >> RDS >> Mysql

Quais caracteres devem ser escapados para evitar injeções de (My)SQL?


Um palpite sobre o caractere de backspace:Imagine que eu lhe envie um e-mail "Oi, aqui está a consulta para atualizar seu banco de dados como você queria" e um arquivo de texto anexado com
INSERT INTO students VALUES ("Bobby Tables",12,"abc",3.6);

Você pega o arquivo, vê que está tudo bem e apenas canaliza o arquivo para o MySQL. O que você não sabia, porém, é que eu coloquei
DROP TABLE students;\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b\b

antes do INSERT STATEMENT que você não viu porque na saída do console os backspaces o sobrescreveram. Bamm!

Apenas um palpite, no entanto.

Edit (não resisti):