Inicio | ¿Sidebar? | RSS

Evitando SQL injection

Despues de un poco de duda y confusión :-S (Bueno, ni tanto) entre mis conocimientos, aquí les tengo una función para filtrar las cadenas antes de utilizarlas directamente en consultas SQL

  1. function sql_quote($value){
  2.         if(get_magic_quotes_gpc())
  3.         $value = stripslashes($value);
  4.        
  5.         //check if this function exists
  6.         if(function_exists("mysql_real_escape_string"))
  7.                 $value = mysql_real_escape_string( $value );
  8.             else//for PHP version < 4.3.0 use addslashes
  9.                 $value = addslashes( $value );
  10.        
  11.         return $value;
  12.     }

Para utilizarla, solo hay que aplicarle a la cadena a filtrar la función y listo.

  1. $password = sql_quote($_POST['password']);
  2. $query = mysql_query("SELECT * FROM usuarios WHERE usuario='admin' AND password='$password');

2 comentarios en "Evitando SQL injection"

Mis Algoritmos » Blog Archive » Gestión de Errores en PHP

2007-03-09 10:59:05

[...] esa horrible costumbre de chatear casi todo el día y cambiarla por programar alguna tontería (Re-Inventar la rueda obviamente puff! [...]

» Evitar Inyección SQL (II) | Solo Código |

2007-09-06 15:00:22

[...] get_magic_quotes_gpc(), que se utiliza también para el filtrado de comillas. Según propone Mis-Algoritmos aquí teneis una función para filtrar una cadena antes de emplearle en la consulta contra la base [...]

Deja un comentario

Suscribirse a los comentarios.