Можно ли не проверять запрос на sql инъекцию?

Question

[Max Ba]

Парни, можно ли НЕ проверять запрос за sql инъекцию, в двух конкретных случаях:

1)
$query .= "SELECT * FROM `tab` WHERE `id` = '".intval($_POST['id'])."'";
$result = DB::query($query);

2)
$a = array(1,2,3,4,5);
$query .= "SELECT * FROM `tab` WHERE `id` IN ".implode(", ", $a);
$result = DB::query($query);

PS
Во всех остальных случаях я использую prepare + execute

Comments

[Adamos]

Вопрос скорее психологический.
Либо "у меня все строго", либо "вот тут есть костыль, но я про него помню...".
Первый вариант успешнее экономит нервные клетки.

[Max Ba]

Adamos, не совсем понял мысль)

Лентяй, А смысл подготавливать запрос туда, куда никак не "пробраться"? Тут вопрос скорее теоретический.

[Max Ba]

Лентяй,
1) потому что меня еще давно учили, что если переменная приходит из вне цифрой, то можно смело не экранировать её, а лишь обернуть функцией intval(). Да даже сам запрос короче.
2) А разве хотя бы ещё один способ защиты от инъекции кроме prepare и bind?

[Adamos]

Макс Васильев, вы прочно стоите не стезе говнокодера.
Если в коде есть защита от инъекций, то одна должна быть в любом запросе. Вы больше времени потратите на обдумывание, нужна она или нет, и горько пожалеете о своем ламерстве, когда три проекта спустя вернетесь к этому коду внести пустяковую правку. Которая таки создаст дыру в том самом месте, где вы когда-то решили, что тут ничего страшного быть не может.

Answer 1

[Stimulate]

в первом случае можно, во втором нет, если массив не ты сам создаешь

Comments

[Max Ba]

Массив я проверяю в самом php перед наполнением на цифры.

[Stimulate]

Макс Васильев, значит тоже можно не проверять

Answer 2

[Аноним Анонимов]

Если весь описанный тобой код точно так же и используется, то не проверяй :)
А вообще всегда лучше предохраниться. Если ты запустишь sqli-сканер, то он автоматически тебе найдет уязвимости (если будут!), а тебе напрягаться не надо. Если своими руками, то советую SQLmap, если без установки, то онлайн можно проверить на https://pentest-tools.com/website-vulnerability-sc... или на https://metascan.ru