Variablen-Filterung ausreichend? - Seite 2

nikosch · 01.09.2009, 21:25

Zitat:

Dass deine Zahlen nicht gequotet sind, erspart dir ohne Adapter nicht die Arbeit, die String-Quotes zu ersetzen.

Ich glaub nur, dass es zumindest minimal anfälliger ist, das Casten auf INT mal zu vergessen, als wenn du komplett immer quotest.

Ich denke es geht darum:

PHP-Code:

  $limit = '1 OR 1=1';

$limit = (int) $limit; // sicher
$q = 'SELECT bla WHERE bla = ' . $limit;
// vs.
$limit = (int) $limit; // sicher
$q = 'SELECT bla WHERE bla = "' . $limit . '"';
// vs.
$limit = mysql_real_escape_string ($limit , $con); // unsicher
$q = 'SELECT bla WHERE bla = ' . $limit;
// vs.
$limit = mysql_real_escape_string ($limit , $con); // sicher
$q = 'SELECT bla WHERE bla = "' . $limit . '"';

mquadrat · 02.09.2009, 10:08

Zitat:

Zitat von robo47

Alles bietet eigentlich mittlerweile prepared statements an, da muss man sich um die hochkommas und das escapen gar keine gedanken mehr machen, ob das ein string oder ein int ist, darum kümmert sich das system von selbst

mysqli tut das das IMHO nicht. Dort muss man bei Prepared Statements den Datentyp des Parameters mit angeben. Insofern ist PDO eindeutig vorzuziehen.

rudygotya · 02.09.2009, 10:32

@ nikosch: genau darum gings

mermshaus · 02.09.2009, 12:22

Wo wir es gerade davon haben und ich mich das immer schon gefragt habe:

Zitat:

Before MySQL 5.1.17, prepared statements do not use the query cache. Beginning with 5.1.17, prepared statements use the query cache under certain conditions, which differ depending on the preparation method: [...]

--MySQL :: MySQL 5.1 Reference Manual :: 7.5.5.1 How the Query Cache Operates

Gibt es dazu Meinungen?

brian johnson · 02.09.2009, 12:47

Zitat:

Zitat von mermshaus

Wo wir es gerade davon haben und ich mich das immer schon gefragt habe:

--MySQL :: MySQL 5.1 Reference Manual :: 7.5.5.1 How the Query Cache Operates

Gibt es dazu Meinungen?

Zitat:

A query also is not cached under these conditions:

a) Statements within transactions that use SERIALIZABLE isolation level also cannot be cached because they use LOCK IN SHARE MODE locking.

b) It generates warnings.

mir - der Transaktionen und Prepared Statements liebend gerne einsetzt - kommts so vor, das der query cache überschätzt wird, denn er hilft meinem eindruck nach nur wenn nur wenn:

a) nicht viele verschiedene querys auf dem server laufen
b) und (wegen a) ) die query zeitlich nah beeinander liegen.
c) das ergebnis nicht größer ist als die max. cache größe

deswegen ist das debuggen, wann der cache greift schwierig und das ergebnis ist oft kaum messbar.

mermshaus · 03.09.2009, 02:15

Danke, das war genau die Antwort, auf die ich gehofft hatte.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Variablen werden nicht übermittelt	kietzmann	PHP Tipps 2009	2	06.06.2009 00:34
Klasse statt globaler Variablen	ecomeback	PHP-Fortgeschrittene	6	15.07.2008 16:30
Templatesystem mit Funktionen und Variablen drin?	BartTheDevil89	PHP Tipps 2008	6	01.07.2008 09:32
Übergeben von Variablen an in PHP eingebundenes Perl-Script	shredder01	PHP Tipps 2008	3	04.04.2008 09:25
Datei mit Variablen so includen, dass Variablen nutzbar?	BartTheDevil89	PHP Tipps 2008	6	22.01.2008 20:57
unerklärliches Leeren von Variablen	KuShi	PHP Tipps 2007	2	08.07.2007 15:19
Teil einer Variablen mit einer Variablen ersetzen ?	simsalabim	PHP Tipps 2007	11	20.03.2007 20:36
variablen aus textfile erzeugen (shellscript)	noskule	Server, Hosting und Workstations	2	19.07.2006 15:42
Variable aus Variablen zusammensetzen	juhuwoorps	PHP Tipps 2007	1	28.11.2005 21:50
$_GET Variablen weitergeben		PHP Tipps 2005	3	01.03.2005 15:36
Variablen übergeben bzw. auslesen?		PHP Tipps 2005	4	30.01.2005 03:56
[Erledigt] register globals off bei variablen Variablen...		PHP Tipps 2005	4	25.01.2005 17:50
komplexe Variablen übergeben?		PHP Tipps 2004-2	8	02.12.2004 08:29
Variablen aus den Formular sind nicht mehr verfügbar		PHP Tipps 2004	6	30.10.2004 13:31
Variablen per adresse übergeben	rocco	PHP Tipps 2004	7	24.07.2004 12:03


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

02.09.2009, 10:32
rudygotya Erfahrener Benutzer Registriert seit: 28.05.2008 Beiträge: 2.094 PHP-Kenntnisse: Fortgeschritten	@ nikosch: genau darum gings __________________ ++++ Wieder einer ins Netz gegangen: Phishers Fritz zufrieden ++++ Blog

03.09.2009, 02:15
mermshaus Erfahrener Benutzer Registriert seit: 14.06.2009 Beiträge: 1.731 PHP-Kenntnisse: Fortgeschritten	Danke, das war genau die Antwort, auf die ich gehofft hatte.