1

Llevo más de un año programando con PHP y MySQL en proyectos pequeños. Cuando quiero mostrar datos de una base de datos en un select, en una tabla, o lo que sea, incluyo un archivo php y ya sea mediante POO o directamente hago las consultas a las bases de datos.

Ejemplo: "select * from table"

Mi pregunta está orientada a saber si es seguro hacerlo así. Yendo a un caso extremo, ¿las grandes plataformas literalmente tienen así las sentencias, con los nombres de las tablas literalmente como un string?

En definitiva,
¿Qué tipo de seguridad se puede manejar para que nadie llegue a esos strings con esos datos tan importantes?

1 respuesta 1

0

Ya que usas PHP y con mi corta experiencia puedo decir que es necesario para medidas de seguridad utilizar PDO:

$servidor = 'mysql:dbname=base;host=127.0.0.1';
$usuario = 'usuario';
$contraseña = 'contraseña';
try {
$gbd = new PDO($servidor, $usuario, $contraseña);
} catch (PDOException $e) {
echo 'Falló la conexión: ' . $e->getMessage();
}

Ademas de Procedimientos Almacenados para evitar como lo explicas escribir el query en tu consulta:

$mysqli->query("CREATE PROCEDURE storedprocedure(IN id INT) BEGIN INSERT INTO base(id) VALUES(id_val); END;")

Nota que en esta Parte es importante usar Mysqli, para evitar la Inyeccion SQL.

Para llamar a tu procedimiento:

if (!$mysqli->query("CALL storedprocedure(1)")) {
echo "Error (" . $mysqli->errno . ") " . $mysqli->error;
}
1
  • 1
    "Nota que en esta Parte es importante usar Mysqli y las sentencias preparadas, para evitar la Inyeccion SQL.". Commented el 25 nov. 2016 a las 16:19

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.