Sql-Abfrage mit php-Variabler

[Tom]

Hello,

$sql = "SELECT * FROM table WHERE blabla = '". $var ."' ORDER BY xyz"
3. $sql = "SELECT * FROM table WHERE blabla = '$var' ORDER BY..."

Beide Varianten scheinen richtig zu sein, sind es aber vermutlich nicht. Sie sind anfällig gegen SQL-Injection, falls dagegen nicht an anderer Stelle Maßnahmen ergriffen worden sind.

Auch wenn der Wert nicht von außen käme, wären sie immer noch anfällig gegen schädliche Daten, denn die Variable wird ja vom Parser ersetzt, bevor die Übergabe an die SQL-Schnittstelle stattfindet. Wenn nun x-beliebige Daten in $var stehen können (z.B. ein Bild), dann zerschießt dies höchstwahrscheinlich das SQL-Statement.

https://forum.selfhtml.org/?t=171572&m=1123378

Ein harzliches Glückauf

Tom vom Berg