sql injenctions

[Daniel]

SQL Injections
הזרקות SQL.

אני אתן דוגמא. יש לך דף התחברות, שמקבל מידע מטופס, ועושה את השאילתה הבאה.

PHP קוד:

SELECT * from members where name='{$_POST['name']}' AND pass='{$_POST['pass']}' 


מה יקרה, כאשר לדוגמא, שם המנהל הוא... admin. אז המשתמש יעשה את הדבר הבא.
בשם המשתמש, הוא יכניס admin, ובסיסמה, הוא יכניס ' OR 1 = '1
מה יצא?

PHP קוד:

SELECT * from members where name='admin' AND pass='' OR 1='1' 


ומה שיקרה, שהמערכת תזהה בעצם את ההתחברות כ"נכונה".
הדרך הנוחה ביותר להגן מפני זה, על כל מה שאתה מקבל, אתה עושה mysql_real_escape_string.

בהצלחה