Sql Injection

[EuricoFerreira]

Boas a todos,

Estou com uma dúvida em mãos relacionada com Sql injection.

Basicamente queria saber se o uso de PDO (prepared statements) será a solução que procuro, contra este tipo de ataques.

Comprimentos

Edited September 3, 2013 at 09:37 AM by EuricoFerreira

[Super.D]

Sim, tanto PDO como MySQLI para base de dados MySQL dão perfeitamente desde que saibas usar.

[EuricoFerreira]

Se me focar neste método, haverá probabilidade de existir alguma hipótese de sql injection?

<?php
$stmt = $conn->prepare(
'INSERT INTO posts (title, content) VALUES (:title, :content)'
);

$title = 'Titulo do post';
$content = 'Conteudo do post';

$stmt->bindValue(':title', $title);
$stmt->bindValue(':content', $content);
?>

[yoda]

http://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php

Use prepared statements and parameterized queries. These are SQL statements that are sent to and parsed by the database server separately from any parameters. This way it is impossible for an attacker to inject malicious SQL.

Tens também na resposta aceite como assegurar que não há ataques à base de dados.

Edited September 2, 2013 at 04:13 PM by yoda