Как защититься от SQL иньекции?

Question

[ivasenkoartem]

Есть код:

spoiler

<?php 

  // Подключение к БД
  require_once 'connect_db.php'; 

  // Вывод значений с формы
  $name = trim($_POST['name']);
  $surname = trim($_POST['surname']);
  $age = intval($_POST['age']);
  $phone = trim($_POST['phone']);
  $biography = trim($_POST['biography']);
  $registration_code = $_GET['code'];

  // Проверка на ошибки
  $errors = array();
  if ($name == "") {
    $errors[] = "Введите имя!";
  }
  if ($surname == "") {
    $errors[] = "Введите фамилию!";
  }
  if ($age == "") {
    $errors[] = "Введите возраст!";
  }
  if ($phone == "") {
    $errors[] = "Введите телефон";
  }
  if ($biography == "") {
    $errors[] = "Введите информацию о себе";
  }

  // Вывод ошибок
  for ($i=0; $i < count($errors); $i++) { 
    echo $errors[$i]."<br>";
  }

  // Добополнение информации о пользователе
  // Если нет ошибок, то проходит обновление успешно
 if (count($errors) == 0) {
   connectDB();
    global $mysqli;
    $mysqli->query ("UPDATE `users` SET `name`='$name', `surname`='$surname', `age`='$age', `phone`='$phone', `biography`='$biography' WHERE `registration code`='$registration_code'");
  closeDB();
  header('Location: ../login.php');

 } else {
  echo "<hr>";
  echo "<b>Устраните ошибки!</b><br>";
    echo "<a href=\"../data.php?code=".$_GET['id']."\">Повторить попытку</a>";

 }

Как обезопасить его от SQL иньекции без ПДО?

Answer 1

[nozzy]

https://github.com/colshrapnel/safemysql

Answer 2

[SadKron]

Использовать другие библиотеки, не стандартный mysql connect. Их уже можно найти в интернете

Answer 3

[Евгений]

юзать хранимки?

Answer 4

[ponaehal]

+ осторожнее использовать выражение LIKE
+ осторожнее с динамическим SQL

т.е. следить за теми значениями которые могут принимать переменные из которых вы лепите выражения like или динамический sql

Answer 5

[Александр Горбунов]

php.net/manual/ru/function.filter-var.php