Как защититься от SQL инъекций?

Question

[Sergey Baharev]

Поможет ли Red Bean полностью защититься от SQL инъекций?

Answer 1

[Андрей Шахтарин]

PDO

php.net/pdo

Answer 2

[Златослав Десятников]

Сегодня в любом случае стоит использовать PDO (или уже какие-то обёртки поверх PDO), вроде Query-builder-ов.

От большей части инъекций избавляет подготовка запроса. На примере PDO:

$stmt = $dbh->prepare("'SELECT * FROM users WHERE id = ? OR email = ?');
$result = $stmt->execute(array($_GET['id'], $_GET['email']));

Также можно использовать именованные параметры, тогда используйте асоциативный массив и параметры вроде :email и :id.
Почитать можно тут.

Answer 3

[Алексей Алексин]

юзаем PDO подготовленные запросы, фильтруем все входящие данные параметры в запрос. Для фильтрации параметров хорошо использовать небольшой файлик со списком команд, которые нельзя использовать и проверять параметр на их наличие.
И опять же, даже если и до чего то, смогут добраться на сайте, всегда работайте на сайте под отдельным пользователем с самыми урезанными правами, конечно это тоже конечно не дает полной защиты, однако продвинутые школьники и студенты уже заступорятся и бросят это занятие :)