26/12/2009, 08:05
|
 | Colaborador | | Fecha de Ingreso: octubre-2009 Ubicación: Valencia
Mensajes: 1.398
Antigüedad: 15 años, 3 meses Puntos: 265 | |
| Respuesta: Evitar SQL Injection
Yo, siendo sincero, no me fijo en que casos usar sprintf o no, lo uso siempre y me ahorro cualquier tipo de problema que pueda haber. Total cuando te acostumbras es muy facil!
Sin embargo, a la hora de usar mysql_real_escape_string si que me fijo, q lo aplique a datos a los que valga la pena.
El ejemplo del nombre del autor es muy claro, lo que siempre habra en el '%s" sera una cadena. Pero en el caso de querer poner un campo edad, tendrias que poner un numero no es asi? Entonces deberias poner '%d' (decimal), y si alguien pone en ese campo "OR 1=1" entonces todo falla y no se imprime de manera correcta, por lo que la consulta no se hace.
Saludos. |