2 svar · 359 visningar · startad av vic
Min fråga är om det är möjligt göra databasinjektioner om man bara kan använda tecken a-z och 0-9 ? Om inte så borde det räcka med
foreach($_GET as $name=>$value) {
$_GET[$name] = preg_replace('/[^a-z0-9]/', '', $value);
}
om jag ska interagera med databasen via GET-variabler och vill skydda mig mot injektioner?
Kan inte se varför det inte skulle vara säkert, men om du gör det antagandet kommer programmerar-Hin Håle och binder fast dig vid en switch i ett kallt serverrum och ger dig brasiliansk vaxning i all evighet, med stor förnöjelse.
Använda parametriserade frågor, eller, om det inte går, quota.
Jag tror jag tar risken :)
