Glasanje: prevencija "SQL injection"

[Dragi Tata]

Недавно сам видео овај текст: http://bobby-tables.com/

Па ме интересује како радни народ спречава сигурносни пропуст познат по имену "SQL injection" илити у преводу убризгавање SQLa. Да ли радите "санитизацију" улаза, или користите параметаризоване упите или не радите ништа по том питању...

[Blood]

pa..osim escape-ovanja ulaza, ja imam i black listu reci (mysql f-ja) koje se filtriraju, kao zastita i od blind SQL Injection.

U sustini zabranjujem INSERT, DELETE, SELECT, SLEEP ...

[robi-bobi]

^ taj filtar bi trebao biti pametan kako ne bi filtrirao tekst:
"your select button is not working"

ranije sam koristio mysql_real_escape_string
sad PDO

[Blood]

^ u pravu si, pogresno sam se izrazio malopre. Predjasnji post se odnosio na podatke gde sam korisnik ne bi trebao da ima kontakta sa samim sql upitom

[dinke]

Filter input - escape output. Sve dok se drzis te mantre sve je ok

[jablan]

Kad se koristi Rails, logično je (iz primera na bobby-tables.com):

Person.find :all, :conditions => ['id = ? or name = ?', id, name]

Skoro sam naišao na Sequel - još jedan zgodan DB toolkit za Ruby (kad nema potrebe za celom ActiveRecord mašinerijom). Tamo se filterovanje datasetova radi ovako:

  dataset.filter(:name => 'abc')
  dataset.filter('name = ?', 'abc')

  dataset.filter{|o| o.value > 100}
  dataset.exclude{|o| o.value <= 100}

  dataset.filter(:value => 50..100)
  dataset.where{|o| (o.value >= 50) & (o.value <= 100)}

  dataset.where('value IN ?', [50,75,100])
  dataset.where(:value=>[50,75,100])

  dataset.filter(:name => 'abc').first
  dataset[:name => 'abc'] # same as above

  # Filter using a subquery
  dataset.filter{|o| o.price > dataset.select(o.avg(price) + 100)}

http://sequel.rubyforge.org/rdoc/fil...ring_rdoc.html

[ivanhoe]

ako koristis odgovarajuce escape-ovani input ili prepared statements to bi trebalo da je to... za XSS treba jos escapeovati i output (na odgovarajuci nacin, zavisno da li ide u html ili u atribute ili eventualno url) i onda moozes relativno mirno da spavas...

[Dragi Tata]

За сада ми се допадају Робијев и Јабланов одговор. Него, баш ме занима шта мисле Дејан Топаловић, Дегојс и још пар људи који се не јављају.

[LiquidBrain]

Definitivno PDO i prepared statements... Prepared statements su dobro resenje i zbog performansi, pogotovu ako se isti upit pojavljuje par puta.

Elem, sto se tice PDO-a mora dobro da se pazi, jer je on samo jedna linija odbrane... Definitivno preporucujem stripovanje specijalnih karaktera iz svih user input-a, ili enkodovanje istih.

[ivanhoe]

ima i mysqli prepared statements, kad smo vec kod toga, ne mora pdo..