Возможна ли sql инъекция при вставке строки json_encode($array, JSON_UNESCAPED_UNICODE)?

Question

[kurtov]

Получаю данные от клиента и формирую массив. Массив храню в БД mysql в поле TEXT. Вставка или обновление обычной строкой:

$string =  json_encode($array,  JSON_UNESCAPED_UNICODE);
$query = "UPDATE db_table SET db_field='$string'";

Каким образом можно осуществить SQL инъекцию в этом случае?
Поиск выдал лишь заключение, что это небезопасно и так делать не надо. Но реальных примеров я не нашел.

Хочется обезопасить БД от инъекций, но не хочется:
1. использовать подготовленные запросы, т.к. лишние запросы;
2. экранировать всю json строку при помощи mysqli_real_escape_string;
3. нормализировать БД или использовать другую БД (MongoDB) т.к. на этом этапе разработки в этом нет необходимости

Answer 1

[Макс]

https://3v4l.org/9kK8W

Comments

[kurtov]

Спасибо.
Решение - экранировать всю строку при помощи mysqli_real_escape_string. Ранее почему то решил, что структура json изменяется, хотя в БД после вставки абсолютно валидный json.

Answer 2

[xmoonlight]

Очистите массив $array через regex от всех НЕ ОЖИДАЕМЫХ значений и затем проверьте, что все необходимые значения (для дальнейшей работы с базой) присутствуют.

Comments

[trevoga_su]

inj такое не ожидаемые значения?

[xmoonlight]

trevoga_su: ожидаемые - это содержащие чётко ограниченный набор (диапазоны) символов, которые не позволяют изменять выражение sql-запроса.

[kurtov]

Очищение данных считаю плохим подходом, если клиент хочет никнейм "'; DROP table'" - то пусть имеет.

[trevoga_su]

xmoonlight: давай ты воздержишься от ответов, ок? иди матчасть поучи для начала.

[xmoonlight]

trevoga_su: да... согласен. Я исправлюсь: https://phpdelusions.net/sql_injection

Answer 3

[trevoga_su]

www.database.phpinfo.su