PHP & SQL: Meilleure façon de protéger cette requête contre les injections SQL N'utilise pas PDO

Question

J'ai une requête qui est exécutée sur une base de données mssql et je n'utilise pas de pilotes PDO. Y a-t-il quelque chose comme une déclaration préparée que je peux utiliser?

Voici la requête:

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ($liferayid, $bmsid, $autotaskid, '$waspdb', $cpid)"; 

grâce,

Jonesy

Answer 1

Le pilote Microsoft SQL pour PHP fournit des instructions préparées:

• http://www.microsoft.com/downloads/en/details.aspx?FamilyID=80e44913-24b4-4113-8807-caae6cf2ca05&displaylang=en
• http://msdn.microsoft.com/en-US/library/cc296184%28v=SQL.90%29.aspx

Answer 2

Vous devriez au moins échapper aux valeurs.

PHP Manual - mysql_real_escape_string

Answer 3

Essayez Préparer les états avec sprint()

$tsql = "INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES (%d, %d, %d, '%s', %d)"; 

$tsql = sprintf($tsql, $liferayid, $bmsid, $autotaskid, $waspdb, $cpid); 
echo $tsql; // you would execute this but printing to the screen to show the query 

Answer 4

$query = sprintf("INSERT INTO cplinktable (liferayid, bmsid, autotaskid, waspdb, cpid) VALUES ('%s','%s','%s','%s','%s')", 
      mysql_real_escape_string($liferavid), 
      mysql_real_escape_string($bmsid), 
      mysql_real_escape_string($autotaskid), 
      mysql_real_escape_string($waspdb), 
      mysql_real_escape_string($cpid)); 

Answer 5

est aussi simple que useing mysql_real_escape sur les chaînes et transtypage sur chiffres/ints/double

(int)$number; //Safe 
(double)$double; //Safe 
mysql_real_escape_string($string); //Safe 

Cette utilisé sur chaque élément de données que vous insérez dans y notre base de données sera en sécurité