SQL инъекции

[newенький]

Подскажите пожалуйста достаточно ли преобразовать параметры в числовой вид для защиты от SQL инъекций, если конечно передаются числовые параметры, или необходимо еще что-то?

Спасибо!

[vvsh]

Нет, думаю этого не достаточно.

Надо обрабатывать все данные, которые участвуют в sql-запросе, функцией mysql_real_escape_string()

[Int]

если конечно передаются числовые параметры

, то функция intval() неплохо справляется и без всяких escape_string, поскольку у неё на выходе всегда будет число.

[vvsh]

ну я имел ввиду вообще для обработки данных.

[newенький]

Если я правильно понял для строк используется ...escape_string(), а для чисел intval() и этого достаточно?

[vvsh]

для всего ...escape_string() хватит.

[Int]

Но для чисел лучше сделать intval, тогда не придётся их в кавычки ставить в запрос. Я один раз уже натолкнулся на такое, что числа через escape_string прогонял, но писал просто `a`=$b, в итогде получил sql-инъекцию, теперь все числовые параметры преобразую в число.

[sc@r@bey]

строки

<?php
if(!get_magic_quotes_gpc())
{
 $_POST['a'] = mysql_escape_string($_POST['a']);
 $_GET['b'] = mysql_escape_string($_GET['b']);
 $_COOKIE['c'] = mysql_escape_string($_COOKIE['c']);
 // и так далее...
}

цифры

$_GET['d'] = intval($_GET['d']);

Edited August 27, 2009 by sc@r@bey