SQL инъекция

[designf]

Народ. Есть сайт. Одни типы угрожают что есть опасность инъекции. Я посмотрел код.

просмотр категории

mysait.ru/index.php?category=1

достаточно ли защититься от инъекции, таким путем:

$cat=intval($_GET[categoty]);

далее, запрос

SELECT * FROM $db_category WHERE selector=$cat

 

[неважно]

Народ. Есть сайт. Одни типы угрожают что есть опасность инъекции. Я посмотрел код.

просмотр категории

mysait.ru/index.php?category=1

достаточно ли защититься от инъекции, таким путем:

$cat=intval($_GET[categoty]);

далее, запрос

SELECT * FROM $db_category WHERE selector=$cat

как-то так по проще будет

SELECT * FROM $db_category WHERE selector = '".(int)$_GET['category']."'

 

[PHP_Master]

Для чисел лучше не использовать кавычки.

 

[t0os]

if ( ! $cat = intval($_GET['categoty']) die("Пошли на юх!");  
$result = mysql_query('SELECT * FROM ' . $db_category . ' WHERE `selector` = ' . $cat);

Можно и так.

 

[designf]

Действительно, а зачем лишние запросы к базе делать, если там бяка.
Спасибо. А то пишу им, мол покажите результ инъекции - молчат ...

Вот и засомневался.

 

[Kloster]

if ( ! $cat = intval($_GET['categoty']) die("Пошли на юх!");  
$result = mysql_query('SELECT * FROM ' . $db_category . ' WHERE `selector` = ' . $cat);

Можно и так.

на юг посылать пользователя, наверное, стоит не всегда, может у него рука дрогнула и вместе с цифрой что-то еще попало в адрес.
А вот обработать только то, что было в параметре числовое - это дело.
Кстати, почему-то никто не проверил знак числа, там хоть и не инъекция, но будет ошибка sql, если параметр равен нулю.
Я обычно делаю так:

$cat=intval($_GET['categoty']); 
if($cat>0){
   //делаем SELECT
}else{
  //вывести ошибку, что категория не найдена. Не убивая программу, пусть шаблоны отработают и все остальное, чтобы страница получилась приличная
}

 

[неважно]

Kloster, какая может быть ошибка sql, если параметр равен нулю =)?

 

[t0os]

на юг посылать пользователя, наверное, стоит не всегда, может у него рука дрогнула и вместе с цифрой что-то еще попало в адрес.
А вот обработать только то, что было в параметре числовое - это дело.
Кстати, почему-то никто не проверил знак числа, там хоть и не инъекция, но будет ошибка sql, если параметр равен нулю.
Я обычно делаю так:

$cat=intval($_GET['categoty']); 
if($cat>0){
   //делаем SELECT
}else{
  //вывести ошибку, что категория не найдена. Не убивая программу, пусть шаблоны отработают и все остальное, чтобы страница получилась приличная
}

А я что тогда проверил в первой строке?
Конечно, на юг посылать и не обязательно. Лучше в логи писать такое дело. Ну или дефолтную категорию выводить.

 

[Kloster]

Слушайте, затупил что-то. В конце дня башка уже не варит.

 

[myweb]

Я делаю вот так

if (!$cat = intval($_GET['categoty'])) $cat=1; // где 1 ето значение по умолчанию

посылать пользователей не очень этически, может он не преднамеренно ступил