8

Quería saber si con su experiencia me podrían decir si esta consulta es segura ante inyección de código.

$sql='UPDATE mano_de_obra SET 
        detalle=:detalle,monto=:monto,usuario=:usuario
        WHERE proforma = :proforma AND codigo_auto=:codigo_auto';
        $row=$this->pdo->prepare($sql)
        ->execute(array(
            ':proforma'         =>$this->datos[0],
            ':codigo_auto'      =>$this->datos[1],
            ':monto'            =>$this->datos[2],
            ':detalle'          =>$this->datos[3],
            ':usuario'          =>$this->usuario));

        header("location: crear-facturas-venta.php?prof=".$this->datos[0]."");
        exit;
5
  • 1
    ¿Qué es $this?
    – Alvaro Montoro
    Commented el 14 feb. 2018 a las 19:53
  • Sí, la consulta es segura contra inyección SQL.
    – A. Cedano
    Commented el 14 feb. 2018 a las 20:10
  • Asegurate de desabilitar las sentencias preparadas emuladas. el SQL en si no tiene ningun problema
    – Xerif
    Commented el 14 feb. 2018 a las 21:21
  • Muy amables, muchas gracias por la respuesta, ahora me surge la siguiente pregunta: Que son sentencias preparadas emuladas? Commented el 2 mar. 2018 a las 6:34
  • sentencias preparadas emuladas significa que pdo arma el sql final, históricamente está activado pues mySQL ha tenido bajo rendimiento con las sentencias preparadas. es cuestón de probar con tu versión cual rinde mejor. para desactivar la emulación sería algo así $this->pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false); esto hace que el prepare mande el sql con placeholders al motor de base de datos (que crea un objeto) y luego el execute envía los parametros. no hay posibilidad de inyectar (nuevo) sql pues en el servidor ya es un objeto/función que sólo recibe parámetros Commented el 12 ago. 2018 a las 19:22

2 respuestas 2

1

El código es seguro ante inyeccion SQL, gracías a PDO. De todas formas, tené en cuenta que si esos datos guardados en la base de datos vas a mostrarlos en pantalla en algún momento, te recomiendo usar la función htmlentities() que se ocupa de convertir caracteres como < o > entre otros a su equivalente en HTML. De esta forma evitás el posible caso de que alguien inserte código HTML y perjudique el funcionamiento del sitio.

Espero haber respondido tu duda!

1

Para seguridad adicional se deben incluir los tipos estaticos PDO, eso garantiza que los parametros del query pueden ser interpretados previamente de forma segura. Para datos decimales se debe usar PDO::PARAM_STR (No existen parametros implicitos para decimal, asi que se reemplaza por String).

$sql='UPDATE mano_de_obra SET detalle=:detalle,monto=:monto,usuario=:usuario WHERE proforma = :proforma AND codigo_auto=:codigo_auto';

$row=$this->pdo->prepare($sql)

$row->bindParam(':proforma',      $this->datos[0], PDO::PARAM_STR);
$row->bindParam(':codigo_auto',   $this->datos[1], PDO::PARAM_STR);
$row->bindParam(':monto',         $this->datos[2], PDO::PARAM_STR);
$row->bindParam(':detalle',       $this->datos[3], PDO::PARAM_STR, 30);
$row->bindParam(':usuario',       $this->usuario,  PDO::PARAM_INT);

$row->execute();

header("location: crear-facturas-venta.php?prof=".$this->datos[0]."");
exit;

Referencias:

Constantes PDO

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.