Mysql
 sql >> Base de Dados >  >> RDS >> Mysql

mysql PDO e injeção de SQL dinâmica de procedimento armazenado


Sim claro.

E se in_var é igual a ' UNION SELECT password from admins -- ?

Para evitar isso, você não deve usar um culto de carga instrução preparada, mas uma real, substituindo sua variável por um espaço reservado. 
SET @query = CONCAT("SELECT * FROM my_table  WHERE my_column = ? LIMIT 1;");

PREPARE stmt FROM @query;
EXECUTE stmt USING @in_var;