Уязвимы ли такие конструкции(pdo)?

Question

[dev400]

Хочу вернуть количество записей по ключу

public function checkCode( $code ) {

        $sql = "SELECT `id` FROM `$this->table` WHERE `code` = '$code'";

        return $this->model->getCount( $sql );

    }

    /**
     * model
    /*
    public function getCount($sql) {

        return $this->connection->query($sql)->rowCount();

    }

Без подготовленного выражения такой код может быть чем то опасен?

Answer 1

[Алексей]

Конечно. Достаточно передать 123'; delete from ...; ...'

Comments

[dev400]

получается переписать как то так нужно даже такие простые вещи?

public function getCount($sql, Array $args) {

        $stmt = $this->connection->prepare($sql);
        if ( $stmt->execute($args) ) {

            return $stmt->rowCount();

        }
        return false;

//        return $this->connection->query($sql)->rowCount();

    }

public function checkCode( $code ) {

        $data = [
            'code' => $code
        ];

        $sql = "SELECT `id` FROM `$this->table` WHERE `code` = :code";

        return $this->model->getCount( $sql, $data );

    }

[Алексей]

dev400: Ну да, примерно так. Или (если хочется без подстановок), валидировать $code. Если это число, то прогнать его через intval хотя бы, чтобы ганантировать что в нем не окажется ничего неожиданного.

[dev400]

Алексей: код это md5, для уникальности. Но можно и в число переделать

[Алексей]

dev400: Тогда на ваш выбор - или через подстановку pdo или проверить регуляркой типа /^[0-9a-f]+$/ . Однако fsockopen верно подметил - вы обходите штатный механизм pdo предназначенный для подстановок. Вместе с тем - валидировать полученные от пользователя данные тоже совсем не лишнее.

[dev400]

Алексей: благодарю!

[Алексей]

dev400: Незачто, удачи в разработках!

Answer 2

[fsockopen]

$this->model->getCount( $sql );
это уже не pdo

Comments

[dev400]

не понял

[fsockopen]

$this->connection->query($sql)...это обычный запрос из пхп к бд. тут pdo не причем

[dev400]

fsockopen: ну $this->connection это объект pdo

[fsockopen]

ну значит метод не его)...потому что pdo предназначен не для того что бы пихать туда голый запрос написанный ручками

[dev400]

fsockopen: это его метод php.net/manual/ru/pdo.query.php
PDO::query() выполняет SQL запрос без подготовки и возвращает результирующий набор (если есть) в виде объекта PDOStatement.