Vlákno názorů k článku
Roste počet útoků typu SQL Injection od anonym - já teda nevim, ale když něco píšu v...

Také tomu moc nerozumím. Když chci dovolit uživateli zadávat data/dotazovat se na ně přes SQL příkazy, tak používám parametry. Zda někdo nepoužije bezpečný přístup je jen jeho neznalost, ale potom by se neměl divit důsledkům s tím spojeným.
Jenže on je ten internet tak lákavý, a ten zvolený jazyk (každý si může doplnit jaký chce, neb předpokládám, že všechny umožńují programovat bezpečně) tak jednoduchý a stránky s ním mám vytvořeny během pár minut. To že by dotyčný mohl mít i jiné znalosti než jen HTML/JS/CSS, ale zřejmě už neví a možná ani nechce slyšet, protože by jej to stálo více úsilý, námahy a času.
Díky
--J.

... a ty parametry se predavaji treba pres URL a bez kontroly se strci do sql dotazu - problem je ze jako parametr utocnik pouzije SQL ;)

takze vzdy kontrolovat jake parametry dostavam!

Tak ono celkem staci ty parametry pouzit skutecne jako parametry a ne z nich trapne skladat nejaky sql prikaz - nevim jestli to podporuje php, ale normalni jazyky to maji celkem standardne. Pak ten kod vypada (v ilustracnim pseudo jazyku :-)) treba takhle:

query.sql.text = "update users set name = :name where id = nejakeJehoId";
query.params["name"] = coMiZadalUzivatel;
query.execute;

pak je mi uplne jedno, jestli jako jmeno uzivatel zadal "'I AM BIG HACKER; delete from users" nebo cokoliv jineho, protoze se tim akorat nastavi to pole v db, ale neprovede se to jako vlastni sql prikaz. Takhle se daji jednoduse i ukladat binarni data

PHP na to má podporu v mysqli extension

Stejne radeji pouzivam vlastni tridu, ktera ma parametry jako :nazev a pak zere pole parametru.. jsem to videl jeste za dob Delphi :) Tu malou rezii co to potrebuje kvuli bezpecnosti obetuji.. nejake zvyseni vykonu by pak prineslo prepsani tech SQL retezcu s parametry na konstantni casti+ volani mysql_escape, coz neni problem udelat strojove,ze.. Ukazka:

    // smazani zaznamu o prislusnem pocitaci
    if ($DB->exec( "DELETE FROM `Host` WHERE id=:id", array('id'=>$id) )) {

    }

Rozřšíření pro některé databáze to umožňují, dokonce s ještě pohodlnější syntaxí:

  $rslt = ibase_query($tr, 'update USERS set NAME=? where ID=?', $name, $id);
  // nebo (lepší když se používá stejný dotaz víckrát s různými parametry)
  $qry = ibase_prepare($tr, 'update USERS set NAME=? where ID=?');
  $rslt = ibase_execute($qry, $name, $id);

Takto naivne jsem se vypekl nedavno, kdyz jsem myslel, ze to vse mam "zadarmo" v JDBC.... zkuste zadat do textoveho formulare apostrof (klasicky, zakladni) a pak to nastavte via setString()... ocekavejte krasnou vyjimku, ale az po execute...:-)