Как правильно защититься от sql injection?

Question

[deniska_kuzmenko]

Вот например есть url: site.ru/?key=qwertyuiop

$key = $_GET['key'];
$key = substr($key, 0, 10);
$key = mysql_real_escape_string($key);
$result = mysql_query("SELECT * FROM table WHERE key = '$key'");

Данный код на 100% защищает от sql injection или нет?

Answer 1

[Котик Антон]

stackoverflow.com/questions/5741187/sql-injection-...

Если вы до сих пор используете устаревшую функцию mysql_query(), то о какой 100% защите может вообще быть речь?

Comments

[deniska_kuzmenko]

не использую) просто код старый, нет желания переписывать все, поэтому и спрашиваю о том на сколько защищает данный код. Короче код дрявый?)

[Vladislav Soprun]

deniska_kuzmenko: Да ))

Answer 2

[Оптимус Пьян]

Правильно использовать не mysql_query а PDO php.net/manual/sr/book.pdo.php он решит все ваши проблемы

Comments

[deniska_kuzmenko]

та знаю, код старый, нет желания переписывать все, поэтому и спрашиваю о том на сколько защищает данный код.

[Duha666]

deniska_kuzmenko: Вполне достаточно

[Оптимус Пьян]

deniska_kuzmenko: да тогда достаточно, только mysql скоро всё равно отвалится так что хотя бы mysqli желательно сделать (в соединении с БД тоже поменять надо будет немного)