كيفية تأمين هذه الخلية البيان في PHP النصي ؟

Question

كيفية تأمين هذه الخلية بيان بنيت في PHP?سيكون عرضة للحقن SQL?

$sql = sprintf("INSERT IGNORE INTO my_table VALUES(%d, %d, 1, NOW())", 
                 mysql_escape_string($_SESSION['client']['id']), 
                 mysql_escape_string($_POST['id']));

Answer 1

ونعم ل٪ د النتائج إلا في عدد ليس هناك حاجة للهروب من السلسلة. إن استخدام علامات الاقتباس المفردة توفير تحسين سرعة أيضا. لذلك وسيلة آمنة وسريعة هي:

$sql = sprintf('INSERT IGNORE INTO my_table VALUES(%d, %d, 1, NOW())', $_SESSION['client']['id'], $_POST['id']);

Answer 2

أي أنها لا يجب أن تكون عرضة للخطر.

هنا مقالة مفصلة حول كيفية تأمين الخاص بك SQL استفسارات PHP.

http://www.tech-evangelist.com/2007/11/05/preventing-sql-injection-attack/

Answer 3

ويبدو على ما يرام بالنسبة لي.

في الواقع، ليس هناك أي حاجة لاستخدام mysql_escape_string في هذه الحالة، منذ sprintf ( "٪ د") يمكن أن يؤدي إلا إلى عدد؟