Échapper de manière sûre une variable dans une requête SQL brute

Question

Je me demande juste si ce qui suit est totalement sûr ou si quelqu'un peut le contourner en utilisant des caractères hexadécimaux, etc :

$name = mysql_real_escape_string(htmlentities(stripslashes($_REQUEST['name'])));
$query ="SELECT * FROM Games WHERE name LIKE '%{$name}%'";

Merci.

Je sais que je peux utiliser PEAR et d'autres bibliothèques pour faire des déclarations pré-parées. Cependant, cette question concerne spécifiquement les requêtes brutes.

Answer 1

Mysql_real_escape_string fait l'affaire, ..,

[EDIT]

pour l'utilisation des chaînes de caractères :

$str = mysql_real_escape_string($input);

pour les valeurs numériques, il suffit de faire un casting de type :

$val = (int)$input;

Answer 2

Utilisez les déclarations préparées paramétrées, avec PDO, cela vous donnera le moyen le plus sûr d'envoyer des requêtes, que PHP peut offrir, et vous n'aurez pas du tout à vous occuper de l'échappement, en utilisant cette méthode.

• AOP
• États préparés paramétrés

Answer 3

Pour le SQL, il suffit de

$name = mysql_real_escape_string($_REQUEST['name']);
$query ="SELECT * FROM Games WHERE name LIKE '%$name%'";

est suffisant.

De plus, l'utilisation de htmlentities et de stripslashes est inutile et boguée.
Je doute que vous vouliez chercher Dankeschön au lieu de Dankeschön par exemple.

Note que mysql_real_escape_string ne fonctionne évidemment que pour les chaînes citées.

$num = mysql_real_escape_string($_REQUEST['num']);
$query ="SELECT * FROM Games WHERE salary > $num;

serait pas aide

Pour les autres utilisations, il peut y avoir d'autres validations.

Answer 4

Mysql_real_escape_string est suffisant ici et puisque vous l'avez étiqueté avec xss, lorsque vous le lisez depuis la base de données et que vous l'affichez en html, utilisez Identités html pour éviter le xss.

Answer 5

Soit utiliser le SQL paramétré, soit appliquer input filtrage :

$query = "SELECT * FROM Games WHERE name LIKE '%{$_REQUEST->sql['name']}%'";

L'évasion manuelle est un style plutôt mauvais, car on l'oublie trop facilement.