SQL Injections
הזרקות SQL.
אני אתן דוגמא. יש לך דף התחברות, שמקבל מידע מטופס, ועושה את השאילתה הבאה.
PHP קוד:
SELECT * from members where name='{$_POST['name']}' AND pass='{$_POST['pass']}'
מה יקרה, כאשר לדוגמא, שם המנהל הוא... admin. אז המשתמש יעשה את הדבר הבא.
בשם המשתמש, הוא יכניס admin, ובסיסמה, הוא יכניס ' OR 1 = '1
מה יצא?
PHP קוד:
SELECT * from members where name='admin' AND pass='' OR 1='1'
ומה שיקרה, שהמערכת תזהה בעצם את ההתחברות כ"נכונה".
הדרך הנוחה ביותר להגן מפני זה, על כל מה שאתה מקבל, אתה עושה mysql_real_escape_string.
בהצלחה
