sqlite_escape_string

[Zverushka]

Эту функцию выпилили в 5.4 Php. Полчаса читаю форумы, в - общем я дуб, нифига не понимаю .

Скажите - вот это решит проблему и обезопасти базу данных на sqlite от injection и подобных проблем? Я уже попробовала вписать кавычки без этой строки и там явно что-то "развалилось".

  function sqlite_escape_string( $string ){      return SQLite3::escapeString($string);  }

Достаточно ли для защиты прогнать входные данные в бд через эту функцию?

Edited June 17, 2014 by Zverushka

[Veseloff]

Prepared statements, не? http://www.php.net/manual/en/sqlite3.prepare.php

[Zverushka]

Чего-то не получается. Вот есть у меня

 $sql_insert =<<<EOF      INSERT INTO ORDERS (ID,NAME,PHONE,COUNTRY,CITY, ADDRESS, COMMENT, REF, DELIVERY, PRICE, PAY)      VALUES (NULL, '$name', '$phone', '$country', '$city', '$address', '$comment', '$ref', '$delivery', '$price', '$pay');EOF;$ret = $db->exec($sql_insert);

Если прописать просто

  $ret = $db->prepare($sql_insert);	$ret = $ret->execute($sql_insert);	// get last id

Выдает ошибку. Там нужно каким-то образом после препере прикручивать каждый параметр отдельно? Не могу разобратьяс как это делать и не понимаю - зачем все так переусложнено?

Edited June 17, 2014 by Zverushka

[Zverushka]

Как я поняла, нужно сделать типа того. Ввожу кавычки - и они рушат базу, там ерунда какая-то и всето 1го номера 1го поля 234234234 вот такое число.

 $sql_insert =<<<EOF      INSERT INTO ORDERS (ID,NAME,PHONE,COUNTRY,CITY, ADDRESS, COMMENT, REF, DELIVERY, PRICE, PAY)      VALUES (NULL, ':name', ':phone', ':country', ':city', ':address', ':comment', ':ref', ':delivery', ':price', ':pay');EOF;	include 'db.php';	// insert in db  $stmt = $db->prepare($sql_insert);  $stmt->bindValue(':name', $name);  $stmt->bindValue(':phone', $phone);  $stmt->bindValue(':country', $country);  $stmt->bindValue(':city', $city);  $stmt->bindValue(':address', $address);  $stmt->bindValue(':comment', $comment);  $stmt->bindValue(':ref', $ref);  $stmt->bindValue(':delivery', $delivery);  $stmt->bindValue(':price', $price);  $stmt->bindValue(':pay', $pay);  $res = $stmt->execute();

УПД. Вроде сработало... фух.. ура) Edited June 17, 2014 by Zverushka