Maßnahmen gegen SQL-Injection - #34865 (Datenbanken und Verzeichnisdienste)

renee

2006-11-07 15:10

User since
2003-08-04
14371 Artikel
ModeratorIn

Man sollte auf jeden Fall die ?-Schreibweise von CPAN:

DBI verwenden. Also statt:

Code: (dl )

1
2
3

my $sql = "SELECT * FROM user WHERE user = '$user'";
my $sth = $dbh->prepare($sql);
$sth->execute()

sollte das hier verwendet werden:

Code: (dl )

1
2
3

my $sql = "SELECT  * FROM user WHERE user = ?";
my $sth = $dbh->prepare($sql);
$sth->execute($user);

Die Fehlerabfragen habe ich der übersichtlichkeit wegen weggelassen...

Durch das ? werden alle Sonderzeichen automatisch gequotet