Нужно ли использовать PDO или $mysqli->prepare если запросы обрабатываются функцией?

Question

[DiaTM]

public function clear_str($str){
			if(is_array($str)){
				$row = array();
				foreach($str as $key => $item){
					$row[$key] = trim(strip_tags($item));
				}
				return $row;
			}
			return trim(strip_tags($str));
		}

public function cat_articles($id_cat){
			$sql = "SELECT `articles_id`, 
							`title`, 
							`keywords`, 
							`description`, 
							`date`, 
							`author`, 
							`articles_image`, 
							`short_text`, 
							`full_text`, 
							`category_id`, 
							`visible` FROM `articles` WHERE `category_id` = '{$id_cat}' AND `visible` = '1'";
			$result = $this -> ins_db -> query($sql);
			if(!$result){
				throw new DbException('Ошибка запроса: '.$this -> ins_db -> connect_errno.' | '.$this -> ins_db -> connect_error);
			}
			if($result -> num_rows === 0) return FALSE;
			for($i = 0; $i < $result -> num_rows; $i++){
				$row[] = $result -> fetch_assoc();
			}
			return $row;
		}

Answer 1

[shagguboy]

эта функция ничего полезного не делает. только процессор греет.

Comments

[DiaTM]

Спасибо огромное! Не подскажете, как научиться грамотно использовать оперативку. Учить assembler?

[shagguboy]

DiaTM: чего?

[DiaTM]

shagguboy: я имею ввиду, как узнать что больше памяти жрёт for, while, do while, и тд, Это можно узнать только тестированием. Просто на форуме слышал что assembler помогает грамотно использовать оперативную память)

Answer 2

[asd111]

Trim и strip_tags не удаляют возможность sql injection. Они защищают от XSS, однако не полностью.
SQL injection — это такая уязвимость, при которой есть возможность делать запросы к базе данных там где это не предпалагалось разработчиком.
У SQL injection есть много неприятных тонкостей, поэтому лучше использовать prepared statements.
Можете попробовать ломануть свою функцию с помощью sql map или тому подобной утилиты для автоматического sql injection. Боюсь что результат может быть положительным.
Гляньте любую статью как защитить php код от sql injection и XSS.

Comments

[DiaTM]

Спасибо огромное!