Seguridad en simple consulta

[elsolodigno]

Hola comunidad, tengo la siguiente consulta:

Código PHP:

  $consulta=mysql_query("SELECT * FROM subcategorias WHERE idsubcategoria = '".$_GET['idsubcategoria']."'");
while($resultado=mysql_fetch_array($consulta))
{
 
echo $resultado['nombresubcategoria'];
 
} 
   

Lo único que hace la consulta es mostrar el nombre de la subcategoría elegida.

Mi pregunta es si debo agregar algún tipo de seguridad en el código?. La carga de las cat y sub categorías las realizo en forma manual desde el phpmyadmin, y en el sitio solo tengo esa consulta. O sea, si me inyectan algo en la url del get que le podría pasar al sitio si solo lo uso para mostrar?.

Bueno gracias por su tiempo.

[pateketrueke]

Pues al sitio es posible que no le hagan nada, pero a tu base de datos le podría pasar lo peor.

Investiga de que trata el tema de SQL Injection, busca en el foro.

[elsolodigno]

Iniciado por pateketrueke

Pues al sitio es posible que no le hagan nada, pero a tu base de datos le podría pasar lo peor.

Investiga de que trata el tema de SQL Injection, busca en el foro.

Gracias por la pronta respuesta pateketrueke.

Haber si te entiendo, aunque el insert, delete y el update lo trabaje directamente desde el phpmyadmin pueden modificarme el contenido de la base de datos?. Cómo debería proteger el contenido del $_GET?, con mysql_real_escape_string() por ejemplo andaría bien?.

Muchas gracias de nuevo.

[elsolodigno]

Debería quedar así?, alguna ayuda?. Muchas gracias por sus tiempos!.

Código PHP:

  $consulta=mysql_query("SELECT * FROM subcategorias WHERE idsubcategoria = '".mysql_real_escape_string($_GET['idsubcategoria'])."'");
while($resultado=mysql_fetch_array($consulta))
{
 
echo $resultado['nombresubcategoria'];
 
} 
   

[xpapachox]

Bueno con la funcion mysql_real_escape_string estaria bien para mejorar la seguridad de tus consultas.

Pero si deseas mejorarlo mas, mas adelante deberias trabajar usando procedimientos almacenados. Y ademas dejar de lado la Extension "mysql" y empezar a usar la extension recomendada "mysqli".


Espero que averigues un poco mas de esos.

Aqui puede ver algunas diferencias. Y la recomendacion de usar mysqli.


http://otroblogmas.com/diferencias-e...ysqli-pdo-php/