PHP-ben SQL Injection elkerülése?

Minden igényesebb, a biztonságra figyelő oldal így csinálja. 3 sor. És ezt a három sor-t nem fogod megúszni ha érdekel a biztonság. Tetszik vagy sem, ez van.

1. prepare

2. bind_param

3. execute

Nem kell feldolgozni a hibákat ha nem akarod:

$stmt = $mysqli->prepare("INSERT INTO test(id) VALUES (?)");

$stmt->bind_param("i", $id);

$stmt->execute();

Mint előttem is utaltak rá: két lehetőség adott:

- PDO prepared statement használata: [link]

- mysqli real_escape_string: [link]

Ezeken felül (szóval szerveroldalon, a MySQL parancsoknál mindenképp szűrnöd kell az előbb leírt módok valamelyikével!) akár kliensoldalon Javascripttel, akár szerveroldalon ellenőrizheted (reguláris kifejezésekkel) az űrlapon megadott értékeket és visszajelezheted a felhasználó felé.

Neked kéne ismerned a saját tábláidat és lekérdezéseidet..

Itt leírják milyen fajta sql injection-ök léteznek és miért működnek:

[link]

Paraméteres lekérdezésnél nem létezik sql injection, real escape stingnél pedig ha létezik is, biztosan nem publikus és nem egyszerű használni.