proteger mysql de Inyección SQL

[Zack78]

Por favor me pueden decir como se hacer para proteger consultas en mysql para proteger de Inyección SQL


Gracias de antemano

[Ronruby]

Valida todos los datos que recibes del usuario. La función mysql_real_escape_string() te ayudara a evitar las inyecciones SQL (si usas MySQL).

[skiper0125]

Hola que tal.

Lo que te recomiendo es que busques en el foro, ya que en el se ha tratado mucho este tema, en mi punto de vista lee esto, te puede ayudar mucho, te dejo un par de foros donde se trata lo mismo

http://www.forosdelweb.com/f18/evita...on-sql-899828/

http://www.forosdelweb.com/f21/segur...on-sql-723588/

http://www.forosdelweb.com/f18/segur...on-sql-563386/

Saludos

[Zack78]

Muchas gracias por su respuesta, veré los links que me paso, haber como hago para solucionar este problema, porque le comento que están molestan con Inyección SQL mi sitio web

[Zack78]

Hola como va skiper0125,


Por favor quisiera saber cómo aplicar correctamente esta funcion mysql_real_escape_string para evitar Inyección SQL

Muchas gracias de antemano

[andresdzphp]

Basta con leer el manual para saber como se usa:

Código PHP:

<?php
// Connect
$link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')
    OR die(mysql_error());
 
// Query
$query = sprintf("SELECT * FROM users WHERE user='%s' AND password='%s'",
            mysql_real_escape_string($user),
            mysql_real_escape_string($password));
 

http://php.net/manual/es/function.my...ape-string.php
http://php.net/manual/es/function.sprintf.php

Saludos.

[Zack78]

Sera que esta forma es correcto para evitar Inyección SQL en mysql en la función like

Código PHP:

  $sql = "SELECT * FROM tabla WHERE titulo like \"" . mysql_real_escape_string("%$nombre%") . "\"";