Zaščita pred SQL injection - user?

ne

uporabi prijeme kot so ... mysql_real_escape_string ipd ...na guglu je precej tega

Sej delam u php.
Samo tko na pamet mi je padlo. Bom uporabil mysql_real_escape_string, za ziher bom pa še privilegije nastavu.

technolog, saj jezik nima veze, ce uros napise mysql_real_escape_string, potem se iz imena funkcije nekako vidi njena namembnost tudi ce bi delal v pythonu ali javi, ne?

Ne? Zanimivo, ce vpisem "mysql_real_escape_string" v google, je prvi zadetek opis funkcije. In za vse ne-php programerje je to najbrz dovolj informacij da se potem znajdejo naprej. V nasprotnem primeru so pa najbrz nesposobni.

Ce v google vpisem "mysql_real_escape_string java" dobim tole stran in na njej dovolj informacij, da vem kako naprej.

Ne morem se strinjat da iz zveze "mysql escape string" ne mores nic vedet. Ce si programer z vsaj nekam izkusnjami potem ti to da neko izhodisce.

Ker če sprašuje tako vprašanje, sigurno ne dela v Javi?

LOL kaka razprava :)
Samo zanimalo me je, če bi omejitev pravic bistveno pripomogla k varnosti spletne strani.

to tudi mene zanima... vedno sem imel v mislih da bi čekiranje vsakega fielda z regexom ki dovoli samo crke in stevilke moglo bit dovolj. Po drugi strani se pa s temi stvarmi nisem preveč ukvarjal in nisem prepričan :P (mogoče še kaka finta v stilu \xc4 ipd?)

Ni čudno, da je toliko slabo spisanih web strani na internetu.
Prvi odgovor, ki sem ga pričakoval je, da bo nekdo takoj povedal, da se sql querijev ne sestavlja kot string, ampak da moraš uporabljati parametriziran query, ampak do sedaj tega odgovora še ni bilo.

Če bi se lotil izdelave spletne strani v katerikoli drugi tehnologiji (Python, Ruby, Java, .Net...), samo v PHP-ju ne, sploh ne bi prišli do tega vprašanja.

Lahko pa uporabljaš stored procedures

D-monLord je 12. mar 2011 ob 12:14 izjavil:

Če bi se lotil izdelave spletne strani v katerikoli drugi tehnologiji (Python, Ruby, Java, .Net...), samo v PHP-ju ne, sploh ne bi prišli do tega vprašanja.

Res? SqlCommand cmd = new SqlCommand("SELECT * FROM novice WHERE id = " + Request.QueryString["id"]);