Como prevenir Injecção SQL com PHP

[C£rberus 1]

Olá pessoal.

 

Neste tutorial irei abordar da forma mais resumida possível, e também profunda, uma solução para prevenir ataques de "Injecção SQL".

 

Antes comecemos pelas causas ou factores que na maior parte das vezes ocasionam estas falhas na segurança.

 

Principais causas

 

1- A primeira e talvez a maior responsável, é o mau saneamento dos dados provenientes do cliente.

2- Mau método de definição e mau manejamento das variáveis "Super globais".

3- Demasiado código ás vezes complica, ou seja, ter mais código do que o necessário torna a tarefa mais difícil, quando o problema é simples e óbvio.

4- Privilégios ilimitados os utilizadores do banco de dados.

 

Dentre outras ...

 

Depois de ler com alguma atenção os pontos descritos acima, é bem fácil perceber que a solução reside no bom saneamento dos dados provenientes do utilizador para o servidor. Mas, qual é a melhor forma de manufacturar tal solução ?

 

Apresento-vos 2 funções do PHP que fazem este trabalho parecer fácil, apesar de isto já ser fácil *-*.

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Para mais informações visite:

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Já vimos as 2 funções PHP que podem ajudar a tornar esta tarefa vezes mais fácil, agora passemos a segunda abordagem, que são as "Prepared Statmend".

 

Sem muito para falar ou explicar o nome já diz tudo "Instruções Preparadas", é o que isso é, nós simplesmente manufacturamos a nossa consulta MYSQLi usando este protocolo, veja um exemplo:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

O que temos aqui é uma prepared_statment usando o MYSQLi.

 

Agora, eis um exemplo onde as variaveis provenientes do utilizar são antes purificadas, e só depois processadas.

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

E temos assim então o processo de limpeza concluído.

 

Assista o vídeo para ver mais detalhadamente o funcionamento:

 

[video=youtube;r65j2MXYW9A]

 

Lembre-se que os códigos ou scripts não são perfeitos, só tente não deixa-lo demasiado exposto, porque inacessível é impossível e escreve-lo sem erros é ...

 

Bom espero que tenham aprendido alguma coisa de nova com este tutorial.

[Cr4cko 1215]

Orra que bacana, não sabia que existia Prepared Statement em PHP..

Só em java mesmo.. belo tutorial, além de bem direto, algo bem útil aqui na prog zone..

Segurança e confiabilidade é algo essencial em qualquer aplicação web (minha opinião).

ABRAÇOS