Dane z formularza a polecenie LIKE Opcje

[Haczyk67]

Pobieram dane z formularza i wykorzystuję je do wykonania zapytania do MySQL z poleceniem LIKE '%$dane_z_formularza%'.

Wyczytałem że mysql_real_escape_string nie zabezpiecza przed atakiem SQL Injection z użyciem znaków %. Intruz może dopisać '%' w formularzu i wykonać wpisane przez siebie polecenie. Nie mogę usunąć '%' z zapytania bo takie znaki też mogą się znaleść w bazie. Jak zabezpieczyć się przed tym?

[Maciekbjw]

Znany problem (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Rozwiązań masz kilka

Kiedyś użyłem chyba czegoś takiego:

[PHP] pobierz, plaintext 
<?php
  if(!preg_match('/%/',$_POST['fraza']))
      {
 
         //tutaj zapytanie SQL
      }
   else {
          //nie wykona zapytania 
}
 
?>
[PHP] pobierz, plaintext 

Niemniej można to też inaczej rozwiązać.