Prevención de inyecciones de SQL

La forma correcta de evitar las inyecciones de SQL es usar Declaraciones preparadas .

Aquí hay un ejemplo abreviado tomado de la documentación de PHP:

$stmt = $mysqli->prepare("INSERT INTO test(id) VALUES (?)");
$stmt->bind_param("i", $id);
$stmt->execute();

En lugar de sustituir literalmente el valor de una variable en su consulta, que siempre será vulnerable a la inyección por parte de un atacante creativo, use un comodín - "?" . La variable debe estar vinculada al comodín.

Obviamente este es un ejemplo mucho más simplificado. Debe realizar el manejo de errores y, a menudo, tendrá más de una variable en su declaración. Todo esto se puede encontrar en la documentación .

El concepto de declaraciones preparadas no es exclusivo de PHP. Lo encontrará en prácticamente todos los lenguajes de programación, aunque la implementación puede diferir. Familiarícese con el concepto, porque lo encontrará y lo necesitará con frecuencia.

  

En este momento creo que estoy a salvo de la explotación genérica '); DROP TABLE table; -- , pero hay más de las que no estoy muy seguro.

Se guardará de esto la mayor parte del tiempo, ya que tiene que usar explícitamente multi_query en PHP + MySQL para permitir consultas apiladas (varias consultas separadas por un punto y coma)

De lo que no se guarda son las inyecciones de SQL que no utilizan consultas apiladas. Esos son por ejemplo:

• en las declaraciones select : usando union para combinar la declaración select legítima con una segunda instrucción select inyectada, recuperando así datos que no deberían haberse recuperado (y posiblemente archivos de escritura / lectura).
• en update / delete / insert : inyección basada en error usando XPATH a través de updatexml o extractdata . Básicamente, genera un mensaje de error que contiene los datos que desea extraer de la base de datos.

Las inyecciones también son posibles en las cláusulas de orden y límite.

Como @ S.L. Barth dijo que la forma correcta de evitar la inyección de SQL es usar siempre declaraciones preparadas para todos los datos variables.