Forum PHP.pl

Witam. Mam pytanie odnośnie PDO.
Czy w obecnej chwili jest możliwe jakieś wstrzyknięcie SQL przy np. takim kodzie:

[PHP] pobierz, plaintext 
<?php
include('connect.php');
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$db = new PDO('mysql:host='.$server.';dbname='.$db_name.';charset=utf8mb4', ''.$login.'', ''.$password.'');
try
{
    $zapytanie = "INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES ('$nick', NOW(), '$komentarz');";
    $db->query($zapytanie);
}
catch(PDOException $ex)
{
    echo "error";
}
?>
[PHP] pobierz, plaintext 

Wcześniej korzystałem z mysqli, ale przeczytałem, że PDO jest nowszą technologią, która posiada dodatkowe zabezpieczenia np. przed wstrzykiwaniem SQL.
Tak jak pisałem na początku moje pytanie brzmi czy jest to w 100% bezpieczne?

Rozumiem. Czy jest wtedy sens przeskakiwania na PDO czy można zostać przy mysqli?

Chodzi mi raczej tylko o bezpieczeństwo.
W mysqli zamieniałem ciąg znaków na base64 a przy wyświetlaniu rekordów na stronie po prostu je odkodowywałem i to było moje zabezpieczenie przed wstrzykiwaniem sql.
Myślałem, że PDO chroni przed jakimkolwiek wstrzyknięciem, ale jeżeli nie to chyba nie ma sensu przechodzić na PDO.
Jeszcze jedno pytanie przeczytałem na jakimś forum, że w PHP 7.0 mysqli oraz mysql mają być usunięte i ma zostać samo PDO czy to prawda?

[PHP] pobierz, plaintext 
<?php
include('connect.php');
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$polaczenie = @new mysqli($servername, $username, $password, $dbname);
if ($polaczenie->connect_errno!=0)
     {
            echo "ERROR TO CONNECT MYSQL";
     }
else		
     {
        $nick = base64_encode($nick);
 	$komentarz = base64_encode($komentarz);
        $zapytanie = "INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES ('$nick', NOW(), '$komentarz');";
	$polaczenie->query($zapytanie);
     }
 
?>
[PHP] pobierz, plaintext 

Chodzi mi mniej więcej o coś takiego, że wszystkie dane ktore wpisuje user zostają zamienione na base64 (przykład wyżej).
Czy nadal jest możliwe wstrzyknięcie SQL?

Ten post edytował vento 20.05.2016, 21:03:37

Rozumiem. Dziękuje za pomoc.

[PHP] pobierz, plaintext 
<?php
include('connect.php');
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$polaczenie = @new mysqli($servername, $username, $password, $dbname);
if ($polaczenie->connect_errno!=0)
     {
            echo "ERROR TO CONNECT MYSQL";
     }
else		
     {
        $nick = mysqli_real_escape_string($polaczenie, $nick);
 	$komentarz = mysqli_real_escape_string($polaczenie, $komentarz);
        $zapytanie = "INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES ('$nick', NOW(), '$komentarz');";
	$polaczenie->query($zapytanie);
     }
 
?>
[PHP] pobierz, plaintext 

Rozumiem, że teraz wszystko jest bezpieczne?

Nie, nie jest! A czemu, to najlepiej wyjaśnia ta odpowiedź na SO: http://stackoverflow.com/a/8255054/5778385
Jedyny dobry sposób to PS: http://stackoverflow.com/a/60496/5778385

kapslokk ale nie pisz bazdur jakiekolwiek *_real_escape_string, nie chroni przed niczym, to się używało w mysql_* bo tylko to tam było, ale dlatego ten sposób już umarł To nie daje nic, bo 95% współczesnych ataków przepuści

No dobra, moja wina, szczerze mówiąc nawet nie wiedziałem przyznaję się.

Może mi ktoś napisać przykład jak dodać bezpiecznie komentarz, aby nie było możliwe wstrzyknięcie sql dla mysqli
Póki co mam coś takiego:

[PHP] pobierz, plaintext 
<?php
include('connect.php');
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$polaczenie = @new mysqli($servername, $username, $password, $dbname);
if ($polaczenie->connect_errno!=0)
     {
            echo "ERROR TO CONNECT MYSQL";
     }
else		
     {
        $nick = mysqli_real_escape_string($polaczenie, $nick);
 	$komentarz = mysqli_real_escape_string($polaczenie, $komentarz);
        $zapytanie = "INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES ('$nick', NOW(), '$komentarz');";
	$polaczenie->query($zapytanie);
     }
 
?>
[PHP] pobierz, plaintext 

Z góry dziękuję za pomoc..

Rozumiem, dziękuję za pomoc będę korzystał z PDO

[PHP] pobierz, plaintext 
<?php
include('connect.php');
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$polaczenie = @new mysqli($servername, $username, $password, $dbname);
if ($polaczenie->connect_errno!=0)
     {
            echo "ERROR TO CONNECT MYSQL";
     }
else		
     {
        $zapytanie = $polaczenie->prepare("INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES (?, NOW(), ?);");
        $zapytanie->bind_param("ss", $nick, $komentarz);
        $zapytanie->execute();
        $zapytanie->close();
     }
 
?>
[PHP] pobierz, plaintext 

Tak też może być?

wywalisz małpę dodasz if z isset i będzie ok

[PHP] pobierz, plaintext 
<?php
include('connect.php');
 
if( (isset($_POST['nick'])) && (isset($_POST['komentarz'])) )
{
$nick = $_POST['nick'];
$komentarz = $_POST['komentarz'];
$polaczenie = new mysqli($servername, $username, $password, $dbname);
if ($polaczenie->connect_errno!=0)
     {
            echo "ERROR TO CONNECT MYSQL";
     }
else		
     {
        $zapytanie = $polaczenie->prepare("INSERT INTO `pdo`.`main` (`nick`, `data`, `komentarz`) VALUES (?, NOW(), ?);");
        $zapytanie->bind_param("ss", $nick, $komentarz);
        $zapytanie->execute();
        $zapytanie->close();
     }
} 
else
{
exit();
}
 
?>
[PHP] pobierz, plaintext 

Teraz ok?

Ten post edytował vento 24.05.2016, 18:01:06

Po czym korzystasz z mysqli
Zamiast tych ifów poczytaj o wyjątkach.