¿Una manera de evitar inyecciones SQL mediante la URL?

[tonydx16]

supongamos que mi url sea así

http://url.com/index.php?id=1556

la consulta sería

Código PHP:

$id = $_GET['id'];
$consulta = mysql_query("SELECT * FROM tabla WHERE id='$id'");
 

ahora, la manera que pienso yo de evitar una inyeccion sql sería cerrar la conexión a la base de datos si no existe el id y redirigir a la raíz de la página.

Código PHP:

$id = $_GET['id'];
$consulta = mysql_query("SELECT * FROM tabla WHERE id='$id'");
 
if($consulta == TRUE){
 
.....
} else {
 
mysql_close();
header("location: http://url.com");
}
 

este sería una buena opción para evitar inyección sql a través de la URL.?

[Rasec101]

Iniciado por tonydx16

supongamos que mi url sea así

http://url.com/index.php?id=1556

la consulta sería

Código PHP:

$id = $_GET['id'];
$consulta = mysql_query("SELECT * FROM tabla WHERE id='$id'");
 

ahora, la manera que pienso yo de evitar una inyeccion sql sería cerrar la conexión a la base de datos si no existe el id y redirigir a la raíz de la página.

Código PHP:

$id = $_GET['id'];
$consulta = mysql_query("SELECT * FROM tabla WHERE id='$id'");
 
if($consulta == TRUE){
 
.....
} else {
 
mysql_close();
header("location: http://url.com");
}
 

este sería una buena opción para evitar inyección sql a través de la URL.?

Mira yo lo que hago es verficar que $_GET['id'] sea un numero antes de hacer cualquier consulta a la base de datos

Código PHP:

// verifico que $_GET['id'] sea distinto de un numero si es asi lo redirecciono adonde yo quiera
if(!is_numeric($_GET['id'])){
 
echo "<META HTTP-EQUIV=\"refresh\" content=\"0; URL=index.php\"></p> "; 
}
else {
consulta ...
}
 

[tonydx16]

ok.. claro pero que tal si en vez de id sea url..

http://url.com/index.php?url=un-articulo

$url = $_GET['url'];
mysql_query("SELECT * FROM tabla WHERE url='$url'") ;


entonces... vale lo que mencioné?.... y otra consulta... hay alguna manera de que hagan inyecciones sql a url amigables?

[jamie_88]

en realidad no entendi muy bien que quieres evitar...

pero si usas isset o empty?

Código PHP:

      if(isset($_GET['url']){$id=$_GET["url"];
    $consulta = mysql_query("SELECT * FROM tabla WHERE url='$url'");}
    else {
    mysql_close();
    header("location: http://url.com");
    }
 
//
if(empty($_GET['url']){mysql_close();
    header("location: http://url.com");}
    else {
    $id=$_GET["url"];
    $consulta = mysql_query("SELECT * FROM tabla WHERE url='$url'");
    }