Schützt mysqli vor SQL-Injections?

snatch-ic · 29.05.2007, 02:38

Hallo,
habe vor kurzem gehört das der einsatz von mysqli vor SQL-Injections schützen soll. Wollte hier noch mal nachfragen ob mir da jemand mehr zu sagen kann oder ob das nicht stimmt?
Es wurde damit argumentiert das bei der Nutzung von mysqli die Datentypen vorgegeben werden und somit keine SQL-Injections mehr möglich sind.
Mich interessiert ob da was wahres dran ist...

mfg snatch

robo47 · 29.05.2007, 11:53

vor sql-injections kann man sich nur mit mysqli nicht direkt schützen.
Aber mit prepared statements die man bei mysqli, pdo und co verwenden kann.

dort übergibst du keine querys mehr direkt einer query funktion sondern baust sie auf, sürich du hast nur platzhalter für variablen inhalt:

http://www.php.net/manual/en/functio...li-prepare.php

wenn man das nutzt ist das schon ein Stückchen sicherer.

Das zuweißen über Platzhalter funktioniert nicht für den tabellennamen! weil sobald man ein prepare erstellt, checkt mysqli im hintergrund schon die vorhandenen tabellen für das anstehende query und wie du geschrieben hast, die Datentypen.

mfg
robo47

Rastaloeckchen · 08.08.2009, 14:49

habe dich in meine Feeds aufgenommen

Gespannt bin

Asipak · 08.08.2009, 15:35

Kennst du schon: Private Nachrichten? Auch sehr spannend!

DaFox · 08.08.2009, 15:40

Zitat:

Zitat von robo47

Das zuweißen über Platzhalter funktioniert nicht für den tabellennamen!

Das Zuweißen gestaltet sich generell als schwierig, weil du damit die Farbe des Platzhalters änderst. SCNR.

Zitat:

weil sobald man ein prepare erstellt, checkt mysqli im hintergrund schon die vorhandenen tabellen für das anstehende query und wie du geschrieben hast, die Datentypen.

Ähem, nein. MySQLi checkt im Hintergrund gar nichts.

Asipak · 08.08.2009, 15:46

Das Thema ist älter als 2 Jahre, auch wenn es stimmen mag, was du sagst

DaFox · 08.08.2009, 15:49

Zitat:

Zitat von Asipak

Das Thema ist älter als 2 Jahre, auch wenn es stimmen mag, was du sagst

Jetzt wo du es sagst ... Rastalöckchen hat mich verwirrt

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
PHP5 -> MySQLi erben	snatch-ic	PHP Tipps 2007	1	08.02.2007 18:05
mysqli als Objekt	CC84	PHP-Fortgeschrittene	31	11.05.2006 20:39
MySQL vs. MySQLi	Shade	PHP Tipps 2007	4	05.11.2005 15:22

29.05.2007, 02:38
snatch-ic Erfahrener Benutzer Registriert seit: 04.12.2005 Beiträge: 286 PHP-Kenntnisse: Fortgeschritten	Schützt mysqli vor SQL-Injections? Hallo, habe vor kurzem gehört das der einsatz von mysqli vor SQL-Injections schützen soll. Wollte hier noch mal nachfragen ob mir da jemand mehr zu sagen kann oder ob das nicht stimmt? Es wurde damit argumentiert das bei der Nutzung von mysqli die Datentypen vorgegeben werden und somit keine SQL-Injections mehr möglich sind. Mich interessiert ob da was wahres dran ist... mfg snatch


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

29.05.2007, 11:53
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	vor sql-injections kann man sich nur mit mysqli nicht direkt schützen. Aber mit prepared statements die man bei mysqli, pdo und co verwenden kann. dort übergibst du keine querys mehr direkt einer query funktion sondern baust sie auf, sürich du hast nur platzhalter für variablen inhalt: http://www.php.net/manual/en/functio...li-prepare.php wenn man das nutzt ist das schon ein Stückchen sicherer. Das zuweißen über Platzhalter funktioniert nicht für den tabellennamen! weil sobald man ein prepare erstellt, checkt mysqli im hintergrund schon die vorhandenen tabellen für das anstehende query und wie du geschrieben hast, die Datentypen. mfg robo47 __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

08.08.2009, 14:49
Rastaloeckchen Benutzer Registriert seit: 08.03.2009 Beiträge: 51 PHP-Kenntnisse: Anfänger	habe dich in meine Feeds aufgenommen Gespannt bin __________________ How the fu.. is error ?

08.08.2009, 15:35
Asipak Moderator Registriert seit: 18.07.2005 Beiträge: 4.072	Kennst du schon: Private Nachrichten? Auch sehr spannend!

08.08.2009, 15:46
Asipak Moderator Registriert seit: 18.07.2005 Beiträge: 4.072	Das Thema ist älter als 2 Jahre, auch wenn es stimmen mag, was du sagst