Injection a MD5

Question

Zakłóżmy że przed wykonaniem jakiegokolwiek zapytania przepuszę zawartość formularzy login i hasło przez md5.  Czy to rozwiązuje to problem SQL injection?

Answer 1

W teorii tak, ale jest to rozwiązanie nieefektywne przynajmniej z kilku powodów:

• Hasło to hasło i powinieneś dla niego zapewniać jak największe bezpieczeństwo… co w dzisiejszych czasach sprowadza się do wykorzystania bcrypt/scrypt. Nie dam se ręki uciąć czy w tym wypadku nie wystąpią sekwencje znaków mogące wywalić bazę (chociaż i tak mówilibyśmy tutaj o szansie 1 do iluś tam zer).
• Login jako md5? A jak go odczytasz? W gruncie rzeczy wówczas login służyłby jedynie do logowania.
• Co z innymi danymi? Wszystko będziesz przepuszczać przez MD5, żeby się chronić przed SQLi? ;)
• Istnieją o wiele lepsze sposoby ochrony przed SQLi, a najlepszym z nich są prepared statements - http://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php/60496#60496 Nie stosuj jakichś pokrętnych środków, tylko takie, które są uznane od dawna za best practice!