0

¿Qué tan seguro es usar LIKE en consultas SQL, y si no lo es, cómo puedo reforzar su seguridad?

Esto para evitar Inyecciones SQL

código:

$clasificacion = $mysqli->query("/*" . MYSQLND_QC_ENABLE_SWITCH . "*/" . "SELECT * FROM productos WHERE categoria LIKE '%".$categoria."%' LIMIT 15");

while ($clasificado = mysqli_fetch_assoc($clasificacion)) {
    echo $clasificado['nombre_producto'],"<br>";
}
4
  • 1
    Tu consulta es insegura pero no por usar likes si no por que no usas consultas preparadas
    – user128299
    Commented el 28 abr. 2020 a las 21:15
  • es.stackoverflow.com/questions/18232/… Commented el 28 abr. 2020 a las 21:52
  • No tiene nada que ver eso con la seguridad el LIKE te sirve para buscar/obtener datos similares a tu variable Commented el 20 oct. 2020 a las 20:51
  • little bobby tables xkcd.com/327 Commented el 20 oct. 2020 a las 21:29

2 respuestas 2

1

Depende bastante de el framework y stack con el que estes trabajando , si estas , si usas php puede utilizar un ORM que te permita crear consultas de tipo TYPESAFE y evitar que le hagan inyecciones a tu codigo.

TYPESAFE son consultas a la base de datos usando orientacion a objetos.

Cuando trabajaba en PHP solia utilizar un ORM bastante facil llamado Medoo , es simple lijero y te permite crear consultas seguras sin tener que exponer sintaxis SQL.

0
1

1.- Cuando realizas consultas de esa manera, lo ideal seria escapar todo aquello que podria considerarse una inyeccion sql para eso podrias utilizar

mysqli_real_escape_string

2.- Y escapar todo lo que llegue a tu servidor y pueda comprometer tu base de datos

$categoria = mysqli_real_escape_string($conexion, $_POST['categoria']);

3.- En el ejemplo anterior estamos escapando lo que viene por el metodo $_POST y lo estamos almacenando en la variable $categoria

4.- La variable $categoria ahora si podrias pasarla en tu consulta como la estas realizando.

5.- O como dice @BetaM podrias considerar utilizar consultas preparadas

Fuentes:

mysqli_real_escape_string

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.