V dnesnej dobe spravit aplikaciu s takouto chybou je dost problematicke - kazdy kodi cez frameworky ktore sql dotazy riesia formou placeholderov a za uzivatela osetruju vstupy. V PHP to ide aj cez PHP:PDO, v PERLe cez modul DBI a predpokladam ze v ostatnych jazykoch tiez existuje nieco podobne.
Dnes weby skor trpia na xss - neosetrene printy z uzivatelovho vstupu (alebo z niecoho do coho uzivatel moze zapisovat - db)
"V dnesnej dobe spravit aplikaciu s takouto chybou je dost problematicke"
- kez by to tak bylo, nebo to tak slo zaridit;)
Zdaleka ne kazdy pouziva frameworky a zdaleka ne kazdy je pouziva spravne, takze je spousta webu, ktere na to trpi.
To ze nekdo pouzije DBI nebo PHP:PDO, to neznamena, ze to bude dobre. Potkal jsem mnoho webu kde je neco jako:
$dbh->prepare("SELECT abc FROM x WHERE id = $id")
a mnoho "programatoru" si ani neuvedomi, ze dela neco spatne, funguje to, tak o co jde...
kdyby to nejakej manik nezverejnil ze tohle existuje a nedostalo se to do sirokeho povedomi. (siroke povedomi znamena ze cca 5 let pote po tom pise root) tak takhle kod pises dodnes taky
to bola teda perla :) Osobne som zacal s perlom niekedy v roku 99, taktiez s mysql a DBI. Od zaciatku som pouzival prepare s placeholdermi pretoze uz vtedy bolisql injections davno zname. Toz staci len citat dokumentaciu a ani nezacnes kod pisat ako prasa.
No jo, jenže to, že to člověk objednal u zahradníka, to se pozná až za X let, až když mu ten web někdo hackne (a nebo mu to hackne, vesele tam řádí, a provozovatel o tom nemá ani tušení).
Obdobně jako když dáš auto do servisu, tak taky normální člověk nepozná, jestli to neopravil "zahradník" a není v tom nějakej skrytej problém.
Jsou prostě problémy, který na první pohled nepoznáš (což je typicky právě bezpečnost u programování apod.)
