Pertanyaan yang diberi tag sql-injection

Jawaban pertanyaan ini adalah upaya komunitas . Edit jawaban yang ada untuk meningkatkan pos ini. Saat ini tidak menerima jawaban atau interaksi baru. Anda telah men-download Stack Overflow di atas : Каким образом избежать SQL-инъекций в PHP?...

Apakah ada fungsi catchall di suatu tempat yang berfungsi dengan baik untuk membersihkan input pengguna untuk injeksi SQL dan serangan XSS, sementara masih memungkinkan jenis tag HTML

Hanya melihat: (Sumber: https://xkcd.com/327/ ) Apa yang dilakukan SQL ini: Robert'); DROP TABLE STUDENTS; -- Saya tahu keduanya 'dan --untuk komentar, tetapi bukankah kata itu DROPdikomentari juga karena itu adalah bagian dari baris yang

Katakanlah saya memiliki kode seperti ini: $dbh = new PDO("blahblah"); $stmt = $dbh->prepare('SELECT * FROM users where username = :username'); $stmt->execute( array(':username' => $_REQUEST['username']) ); Dokumentasi PDO mengatakan: Parameter untuk pernyataan yang disiapkan tidak...

Apakah ada kemungkinan injeksi SQL bahkan ketika menggunakan mysql_real_escape_string()fungsi? Pertimbangkan situasi sampel ini. SQL dibuat dalam PHP seperti ini: $login = mysql_real_escape_string(GetFromPost('login')); $password = mysql_real_escape_string(GetFromPost('password')); $sql =...

Bagaimana pernyataan yang disiapkan membantu kita mencegah serangan injeksi SQL ? Wikipedia mengatakan: Pernyataan yang disiapkan tahan terhadap injeksi SQL, karena nilai parameter, yang dikirim kemudian menggunakan protokol yang berbeda, tidak perlu melarikan diri dengan benar. Jika templat...

Saya mencoba untuk menempatkan beberapa injeksi anti sql di Jawa dan saya merasa sangat sulit untuk bekerja dengan fungsi string "replaceAll". Pada akhirnya saya membutuhkan fungsi yang akan mengkonversi semua yang ada \ke \\, "ke \", 'ke \', dan \nke apa pun \\nsehingga ketika string dievaluasi...

Saya menyadari bahwa kueri SQL berparameter adalah cara optimal untuk membersihkan masukan pengguna saat membuat kueri yang berisi masukan pengguna, tetapi saya bertanya-tanya apa yang salah dengan mengambil masukan pengguna dan melepaskan tanda kutip tunggal dan mengelilingi seluruh string...

Saya tahu bahwa PreparedStatements menghindari / mencegah SQL Injection. Bagaimana cara melakukannya? Apakah kueri formulir akhir yang dibuat menggunakan PreparedStatements akan berupa string atau

Sebelumnya hari ini sebuah pertanyaan telah diajukan mengenai strategi validasi input di aplikasi web . Jawaban teratas, pada saat penulisan, menyarankan PHPhanya dengan menggunakan htmlspecialcharsdan mysql_real_escape_string. Pertanyaan saya adalah: Apakah ini selalu cukup? Apakah ada lagi yang...

Saya sangat baru dalam bekerja dengan database. Sekarang saya bisa menulis SELECT, UPDATE, DELETE, dan INSERTperintah. Tetapi saya telah melihat banyak forum tempat kami lebih suka menulis: SELECT empSalary from employee where salary = @salary ...dari pada: SELECT empSalary from employee where...

Dalam hal injeksi SQL , saya sepenuhnya memahami perlunya parameterisasi stringparameter; itulah salah satu trik tertua dalam buku ini. Tapi kapan bisa dibenarkan untuk tidak membuat parameterisasi SqlCommand? Apakah ada tipe data yang dianggap "aman" untuk tidak dijadikan parameter? Sebagai...

Kami sedang berdiskusi lagi di sini tentang penggunaan kueri sql parametrized dalam kode kami. Kami memiliki dua sisi dalam diskusi: Saya dan beberapa orang lain yang mengatakan bahwa kami harus selalu menggunakan parameter untuk melindungi dari suntikan sql dan orang lain yang merasa tidak perlu....

Saya memahami bahwa Anda TIDAK PERNAH mempercayai masukan pengguna dari formulir, terutama karena kemungkinan injeksi SQL. Namun, apakah ini juga berlaku untuk formulir di mana satu-satunya masukan adalah dari dropdown (lihat di bawah)? Saya menyimpan $_POST['size']ke Sesi yang kemudian...

Apakah mungkin untuk mencegah injeksi SQL di Node.js (sebaiknya dengan modul) dengan cara yang sama seperti PHP telah Mempersiapkan Pernyataan yang melindunginya. Jika ya, bagaimana caranya? Jika tidak, apa saja contoh yang mungkin mengabaikan kode yang saya berikan (lihat di