Hay un error de comprensión en tu pregunta al afirmar:
Cuando se envía información desde un formulario se valida para mayor seguridad con $_SERVER['REQUEST_METHOD'] == 'POST'
. Pero qué pasa si
el parámetro que se envía no está en un formulario y está en una
tabla?
Si se trata de seguridad a nivel de base de datos, obtener los datos con GET, POST, REQUEST, etc no aporta absolutamente nada a la seguridad.
¿Cóooomo? ¿Y por qué dices eso?
Por un motivo muy simple, para consultar a la base de datos hay que aplicar seguridad a otro nivel: en la forma en que pasas esos datos para las consultas. En el pasado se hizo popular el mito de que limpiar los datos con ciertas funciones que tenían la pretensión de ser mágicas era una técnica eficaz. La experiencia demostró lo contrario, de hecho, en la red (sobre todo en el homólogo inglés de este sitio) hay demostraciones reales de que, aún sanitizando datos te puede colar una inyección SQL.
La solución más eficaz para protegerte en este caso es muy simple:
- (a) Obtener los datos (por POST, por GET, por REQUEST o como quieras en una variable). Algunos piensan que esto tiene riesgo. No tiene ninguno, porque esa variable no se va a imprimir en el documento, se va a usar solamente para consultar a la base de datos.
- (b) Pasar el dato obtenido en (a) a la base de datos de una forma de segura, mediante el uso de consultas preparadas. Este es el quid de la cuestión. De nada sirve limpiar y relimpiar un dato si luego se lo pasas directamente a la base de datos.
En la práctica, los pasos (a) y (b) mencionados se parecerían a esto:
/*
*Aquí usamos un operador ternario para comprobar
*que el dato está en el GET. Puedes usar la técnica que quieras
*/
$valor = ( empty ($_GET['valor'] ) ? NULL : $_GET['valor'];
if ($valor){
$sql="SELECT columna FROM tabla WHERE columna=?";
/*
*1. Preparar $sql
*2. Pasar por un método adecuado el dato obtenido en $valor
* Es ese método el que se va a encargar de neutralizar la inyección
* Dado que $valor no saldrá de ese ámbito, no hay ningún riesgo
* en como se obtenga
*3. Ejecutar la consulta
*4. Obtener los datos si fuera preciso
*/
}else{
echo "No se pasaron datos en el GET";
}
El código de más arriba es seguro. Pero digamos que tú pasas a tu variable $valor
por todos los centros de limpieza posible, la dejas en remojo tres o cuatro días, luego la lavas, la enjuagas, la vuelves a lavar... O sea, la aplicas todas las funciones de sanitización habidas y por haber y luego la aplicas tres o cuatro funciones más de limpieza que te has inventado o que has encontrado en la red.
Y luego de todo eso cometes la estupidez (con todo respeto) de hacer algo así:
$sql="SELECT columna FROM tabla WHERE columna=$valor"; //El riesgo REAL es pasar $valor directamente
$stmt=$con->query($sql);
Toooodo el proceso de limpieza que hiciste antes puede que te sirva, o puede que no, porque como ya dije, hay pruebas de que se puede hacer una inyección SQL sin usar absolutamente ningún carácter de los que escapan las funciones de sanitización existentes.