Injections SQL de base?

Question

On m'a dit dans un previous question que ma requête est sujette aux injections SQL.

get_stats = mysql_query("SELECT * 
           FROM visitors 
           WHERE site='$_GET[site]' 
           AND date BETWEEN '$start_date' AND '$end_date' "); 

Quelle serait la manière la plus simple d'aborder ce problème? Et avez-vous d'autres lectures sur le sujet des injections? (quelque chose que je pourrais manquer sur Google). Merci!

Answer 1

Utilisez Prepared Statements.

Dans la plupart des cas, les instructions préparées permettent de combiner votre requête avec vos paramètres de manière sûre.

Answer 2

mysql_real_escape_string est la forme de sécurité la plus simple et la plus simple ici.

Answer 3

$ _GET ['site'] est une valeur qui vient directement de l'URL dans le navigateur, ce qui signifie qu'un utilisateur pourrait facilement changer cette valeur pour tout ce qu'ils veulent, vous devriez vérifier/assainir cette valeur, toutes les valeurs avant d'envoyer à une base de données.

Quelque chose comme ça serait un début, pourrait encore utiliser plus de travail et il y a plusieurs façons de le faire, je voudrais créer une fonction personnalisée/classe pour passer facilement toutes les variables par sitewide qui peut des choses simplement répétitif comme celui-ci

$site = mysql_real_escape_string($_GET['site']); 
$start_date = mysql_real_escape_string($start_date); 
$end_date = mysql_real_escape_string($end_date); 

get_stats = mysql_query("SELECT * FROM visitors WHERE site='$site' AND date >= '$start_date' AND date <= '$end_date' ");