0

Hola:

Estoy realizando un proyecto y me surgió la siguiente duda: ¿ Que diferencia hay entre mysqli_real_scape_string , de una función definida por el usuario ?

Ejemplo función definida por el usuario:

function limpiar_datos($data)
{
  $data = trim($data);
  $data = stripslashes($data);
  $data = htmlspecialchars($data);
  return $data;
}

Ejemplo mysqli_real_escape_string:

$categoria = isset($_POST['categorias']) ? mysqli_real_escape_string($db, $_POST['categorias']) : false;

¿Es correcto utilizar solamente mysqli_real_escape_string? o bien es conveniente utilizar los dos métodos unidos, por ejemplo:

$categoria = isset($_POST['categorias']) ? mysqli_real_escape_string($db, limpiar_dartos($_POST['categorias'])) : false;
3
  • 1
    Yo personalmente usaría sentencias preparada y te evitas todo ese dolor de cabeza. php.net/manual/es/mysqli.quickstart.prepared-statements.php y si quieres más información como evitar la inyección SQL te dejo esta respuesta de SOes es.stackoverflow.com/questions/18232/…
    – D.Bulten
    Commented el 24 ene. 2021 a las 21:40
  • Añadiendo a lo que ya ha dicho @D.Bulten, yo directamente usaría PDO. Cuanto más anticuada está la tecnología que usas, más fácil es que la vulneren!
    – Benito-B
    Commented el 24 ene. 2021 a las 21:47
  • La función que muestras no representa una utilidad más allá de eliminar espacios y modificar algunos caracteres, realmente no previene inyección SQL y, mucho menos, ataques XSS; para más info, comienza por aquí: es.stackoverflow.com/questions/53591/…
    – Triby
    Commented el 25 ene. 2021 a las 1:47

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.