Mysql
 sql >> Base de Dados >  >> RDS >> Mysql

Esta consulta é segura contra injeção de sql?


Essa injeção em particular não funcionaria porque o mysql_query do PHP A função permite apenas uma consulta por chamada. No entanto, o seguinte pode funcionar se column tem uma chave primária ou única:
$unsafe_variable = "admin') ON DUPLICATE KEY UPDATE password=MD5(CONCAT('knownsalt', 'newpassword'))#";

Melhor usar o prolixo mysql_real_escape_string função:
$sql=sprintf("INSERT INTO table (column) VALUES(%s)",
             mysql_real_escape_string($unsafe_variable));
mysql_query($sql);