Как защищаются от SQL-инъекций?

Question

[Mansur05]

Какие способы защиты от sql-инъекций используют в нынешнее время?

Answer 1

[Saboteur]

Простой способ - фильтр входящих данных.
Практически каждый DB драйвер сейчас имеет встроенные средства для экранирования опасных символов, следовательно все, что приходит от пользователя, можно фильтровать готовыми функциями.

Вкратце, пример на PHP для mysqli, где $input - что пришло от юзера, например через форму или иным образом

Если без защиты выглядит так

$con=mysqli_connect("localhost","db_user","db_password","db_name");
$sql="select * from table where id=$input"
mysqli_query($con,$sql);

То с защитой, например так:

$con=mysqli_connect("localhost","db_user","db_password","db_name");
$sql = $mysqli->real_escape_string("select * from table where id=$input");
mysqli_query($con,$sql);

Answer 2

[romy4]

Какие фильтрации входящих данных вы производите?
Использование PHP PDO предотвращает SQL injection?

Answer 3

[xmoonlight]

1. Смотрите здесь правила защиты от внешних атак.
2. Непосредственно в коде: regex-фильтрация входных данных и подготовленные выражения для SQL-запросов.