Всем привет, у меня вопрос. Делаю сайт на PHP, у

Question

Всем привет, у меня вопрос. Делаю сайт на PHP, у

меня есть страница, где я через GET параметр получаю ID, потом делаю SELECT из базы данных с этим ID, и показываю результат.

Сделал такую защиту от SQl INJ.

Просто не применяю encode параметра, и тогда если кто-то присылает '--, то в строку вставляется %27--. Нормально ли это или это возможно взломать?

#mysql #programming #russian

0

07.04.2021

11 ответов

9 просмотров

Peace Автор вопроса

Сергей Кравчук
а почему бы не воспользоваться стандартными средст...

Просто экспереминтирую

0

07.04.2021

Dmitry Soloviev

https://www.php.net/manual/ru/pdo.prepare.php

0

07.04.2021

Peace Автор вопроса

Dmitry Soloviev
https://www.php.net/manual/ru/pdo.prepare.php

Я знаю, про эти методы. Просто экспереминтирую. Интересно, можно ли это как-то обойти

0

07.04.2021

Peace Автор вопроса

Dmitry Soloviev
https://www.php.net/manual/ru/pdo.prepare.php

$query = "SELECT *" . "\n FROM users" . "\n WHERE id = " . (int) $id . "\n AND owner = 1" . "\n ORDER BY name" ; $database->setQuery( $query ); $rows = $database->loadObjectList();

0

07.04.2021

Vladimir Fedorkov

Dmitry Soloviev
https://www.php.net/manual/ru/pdo.prepare.php

Хороший метод получить до 3х latency на запросах. До 8.0.22 от prepared statements кроме вреда никакой пользы нет. В 8.0.22 фазу подготовки запроса наконец положили в PREPARE, а не в EXECUTE как она была до этого https://dev.mysql.com/doc/relnotes/mysql/8.0/en/news-8-0-22.html В целом радости от использования prepared statements особенно на высоконагруженных проектах лично я не вижу.

0

07.04.2021

ולאד

Vladimir Fedorkov
Хороший метод получить до 3х latency на запросах. ...

важнее наверное что PREPARE теперь как то кешируется и при запросе пропускаются фазы парсинга и оптимизации

0

07.04.2021

Alex

Vladimir Fedorkov
Хороший метод получить до 3х latency на запросах. ...

сто лет использую prepared statements

0

07.04.2021

deadka

Vladimir Fedorkov
Хороший метод получить до 3х latency на запросах. ...

Бенчмарки по использованию prepare statements в mysql (через эмуляцию PDO и "родную" от MySQL) - что показали: миллион селектов с эмуляцией отработал за 88 секунд , без эмуляции - за 76. То есть родной мускульный немножечко, но быстрее :) mysql 5.7 был, на 8-ке не пробовал

0

07.04.2021

Alex

Vladimir Fedorkov
Хороший метод получить до 3х latency на запросах. ...

я вот все пытаюсь найти что это такое, и никак не могу найти

0

07.04.2021

Alex

Vladimir Fedorkov
Хороший метод получить до 3х latency на запросах. ...