Sanityzacja inputa PDO

Question

Czy przed wysłaniem danych logowania do bazy danych przy użyciu funkcji prepare i execute w PDO wymagana jest wcześniejsza sanityzacja wprowadzonych danych przez użytkownika? Wiem że funkcje te zapewniają odporność na SQLinjection ale czy aby napewno to wystarcza?

Answer 1

Witam,

Teoretycznie prepare jest wystarczające. Jednak jeśli masz możliwość dodatkowej filtracji danych, to lepiej zabezpieczyć się bardziej. Możesz użyć htmlspecialchars() albo htmlentities(), sprawdzić czy użyto jakichś nieodpowiednich znaków itd.

Do tego warto dodać jakieś atrybuty PDO np. ATTR_EMULATE_PREPARES ustawić na false.

Wtedy będziesz miał pewność, że Twoja strona odporna jest na atak SQL Injection.

Comments

Dzięki takiej odpowiedzi potrzebowałem.

---

Prepared statements same w sobie zabezpieczają przed SQLi i traktowanie danych innymi metodami przed zapisem jest całkowicie niepotrzebne. Takie rzeczy powinno się robić przy wyświetlaniu danych.