Cette injection de requête est-elle fiable?

Question

Je me sers PDO pour parler à ma base de données, et je me demande si un type de coulée comme celui-ci

$dbh->query("SELECT * FROM recipes WHERE id=".(int)$id); 

est suffisante pour empêcher l'injection sql? Dans ce cas, $ id est toujours un entier.

Je me demande aussi ce qui serait un bon moyen d'empêcher une injection dans ce genre d'instruction si la variable était une chaîne.

Answer 1

Oui. Casting à int empêche toutes les possibilités d'injection SQL méchant.

Si la variable était une chaîne, vous devez utiliser prepared statements pour la transmettre.

$sql = 'SELECT name, colour, calories 
    FROM fruit 
    WHERE calories < :calories AND colour = :colour'; 
$sth = $dbh->prepare($sql); 
$sth->execute(array(':calories' => 150, ':colour' => 'red')); 
$red = $sth->fetchAll(); 

Answer 2

Vous devez échapper les noms de table et sur le terrain dans la requête:

$dbh->query("SELECT * FROM `recipes` WHERE `id=`'".(int)$id."'"); 

Answer 3

, une meilleure approche Puisque vous utilisez déjà PDO à utiliser:

• Prepared Statements

C'est beaucoup mieux:

$dbh->prepare("SELECT * FROM recipes WHERE id = ?"); 
$dbh->bindParam(1, (int) $id); 
// more code..... 

Answer 4

Étant donné que vous avez spécifiquement casté $id en nombre entier, il est sûr. Pour une chaîne (ou tout autre type de données), vous devez l'échapper avant d'exécuter la requête; jetez un oeil à PDO::quote.

Answer 5

Oui, la liaison à un nombre entier est suffisante pour empêcher l'injection SQL si le paramètre est attendu en tant qu'entier. Vous pouvez également utiliser un Automatic SQL Injection Tool pour le détecter.

Answer 6

Attention cependant, en PHP (int) convertit NULL à 0.

Par conséquent, si vous avez eu une association significative avec l'ID de 0 dans votre application, cela pourrait déclencher cette valeur sans le vouloir.