0

he investigando pero encontré que la función mysql_real_escape_string lo utilizan para el login, en username y password, pero no se si necesario utilizar mysqli_real_escape_string en todas la entradas de los formularios que tengo como administrador.

2
  • 1
    mysql_real_escape_string está obsoleto y se elimina en PHP7. No debería utilizarse en absoluto. Luego, en la pregunta estás consultando por mysqli_real_escape_string, que difiere en una letra pero la diferencia en el resultado es importante. Todos los valores recibidos por tu script deberían sanitizarse. Por favor lee ¿Cómo evitar la inyección SQL en PHP? vulnerabilidades importantes que deberías evitar.
    – Mariano
    el 22 ago. 2016 a las 1:03
  • 3
    Posible duplicado de ¿Cómo evitar la inyección SQL en PHP?
    – Mariano
    el 22 ago. 2016 a las 1:04

1 respuesta 1

0

La aplicación del mysql_real_escape_string se resuelve a entender el funcionamiento de los datos con mysql y con la inyección de sql en los queries.

Cuando fabricas una sentencia SQL, pones las cadenas de caracteres entre comillas dobles: "frase"

En caso de que fabricas dinamicamente una sentencia con variables, estas pueden contener comillas dobles a su vez.

Ejemplo:

$usuario = 'nombre';
$pass = '123"fd';
$sql = 'select * from usuario where nombre = "$nombre" and pass = "$pass"';

Se ve bonito, pero que pasa cuando ves la frase tal cual ?

select * from usuario where nombre = "nombre" and pass = "123"fd";

Notarás que el pass tiene de entrada un error de sintaxis.

Con el mysql_real_escape_string te proteges de esto:

$sql = 'select * from usuario where nombre = "'.mysql_real_escape_string($nombre).'" and pass = "'.mysql_real_escape_string($pass).'"';

Resultado:

select * from usuario where nombre = "nombre" and pass = "123\"fd";

Ahora, tienes que conocer la estructura de tus datos y el origen de estos datos para saber si aplicas o no la función.

En general:

  • Si el origen de los datos no lo controlas (es decir, viene del cliente, del exterior, de un campo, de un servicio etc), usa sistematicamente la función para protegerte de una inyección SQL.

  • Si el origen de los datos es controlado pero puede tener " adentro, (por ejemplo un texto de un artículo etc), usa también la función para protegerte de errores de sintaxis de SQL.

  • Si sabes perfectamente que contienen los queries porque tu los contruyes, y no contienen carácteres que pueden infrigir las reglas de contrucción de SQL, no la necesitas.

Ahora, si usas mysql con variables de queries y no con un query de string, no necesitas escapar las variables

Este es el método más recomendado para usar MySQL

ejemplo: (del manual de PHP)

$city = 'una"ciudad';
sql = /* crear una sentencia preparada */
if ($stmt = $mysqli->prepare("SELECT District FROM City WHERE Name=?")) {
    /* ligar parámetros para marcadores */
    $stmt->bind_param("s", $city);
    /* ejecutar la consulta */
    $stmt->execute();
    /* ligar variables de resultado */
    $stmt->bind_result($district);
    /* obtener valor */
    $stmt->fetch();
    printf("%s is in district %s\n", $city, $district);
    /* cerrar sentencia */
    $stmt->close();
}
4
  • 1
    mysql_real_escape_string está obsoleto y se elimina en PHP7. No debería utilizarse en absoluto. Por favor lee ¿Cómo evitar la inyección SQL en PHP?
    – Mariano
    el 22 ago. 2016 a las 1:00
  • 1
    Es exactamente lo que puse al final del articulo, y no todo el mundo tiene la suerte de poder usar el PHP 7 aún, millones de servidores en data centers y en instalaciones por defecto de todos los sabores de linux, centos, fedora etc aún instalan 5.x por defecto. No veo porque el -1 el 23 ago. 2016 a las 16:09
  • 1
    Toda la respuesta se basa en el uso de mysql_* y sobre el final se muestra un ejemplo usando MySQLi, pero desconectado del resto, y no es compatible con lo que venías explicando. En ningún lugar se menciona que no debería usar la extensión obsoleta. MySQLi se implementó desde PHP 5. La explicación es muy buena, pero el -1 es la mejor forma que encuentro de expresar que no usen esto. Si fuese esta misma explicación para mysqli_* votaría +1 sin duda, al igual que he hecho en 2 de tus otras respuestas.
    – Mariano
    el 24 ago. 2016 a las 6:29
  • @PhilippeThomassigny coincido en parte con Mariano, yo reformularía la respuesta para mandarlos a la referencia a ¿Cómo evitar la inyección SQL en PHP? y pondría la explicación de MySQLi. Luego, por si necesita salir del paso (ej: mantenimiento de una aplicación con un problema productivo) la explicación de mysql_real_escape_string.
    – El Asiduo
    el 8 sep. 2016 a las 12:01

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.