PHP Lang
  1. PHP Lang
  3. эта динамика (столбец & таблица) PHP выбирает запрос безопасным?
Intereting Posts
PHP echo SQL Count Как заставить строку заголовка пропустить в моем цикле while, используя fgetcsv? mysql_result () ожидает, что параметр 1 будет ресурсом, boolean given Как разобрать блок комментариев PHP-стиля PHP? Bycript / Blowfish и Salts с существующей системой auth Предоставление загруженных изображений уникальному имени для mysqli использование JParameter в Joomla Массив сообщений, усеченный, max_input_vars не работает Перенаправление с https://example.com на https://www.example.com в htacess Echo 'string', в то время как каждая итерация длинного цикла (flush () не работает) phpunit не находит никаких тестов с тегом Director xml, но делает с (некоторыми) файлами теги Принять международные имена в RegEx phpmailer ERROR: не удалось создать почтовую функцию Mysql удаляет конкретное слово в строке, разделенной запятыми Почему полная остановка «.», А не символ плюса, «+», для конкатенации строк в PHP?

эта динамика (столбец & таблица) PHP выбирает запрос безопасным?

Имена таблиц и столбцов не могут быть связаны с использованием PDO -> bindParam (), но я уверен, что больше, чем кто-либо хотел бы иметь возможность. Немного поздно, но я написал это раньше, и пока это работает. Я как бы новичок в php и хотел бы знать, что вы думаете и если это безопасно. 

$type = "defaultTableName"; $sortBy = "defaultColumnName"; $orderBy = "ASC"; //whitelisting unsafe input if(isset($_GET['orderBy'])&&($_GET['orderBy']=="ASC"||$_GET['orderBy']=="DESC")) $orderBy = $_GET['orderBy']; $tableNames = array("defaultTableName", "tableName2", "tableName3"); $unsafeType= $_GET['type']; <---unsafe input $unsafeSortBy = $_GET['sortBy']; <---unsafe input try { $pdo = new PDO("mysql:host=$hostname;dbname=$database", $username, $password); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); //if input is not valid this will use default table to render a table in html. $stmt = $pdo->prepare("DESCRIBE $type"); $stmt->execute(); $table_fields = $stmt->fetchAll(PDO::FETCH_COLUMN); //Whitelisting user input against table names (will require table names updates) if (in_array($unsafeType, $tableNames)) { $stmt = $pdo->prepare("DESCRIBE $unsafeType"); $stmt->execute(); $table_fields = $stmt->fetchAll(PDO::FETCH_COLUMN); ///Whitelisting the column name to sort by against the description of the table. if (in_array($unsafeSortBy, $table_fields)) { $stmt = $pdo->prepare("SELECT * FROM $unsafeType ORDER BY $unsafeSortBy $orderBy"); } else { $stmt = $pdo->prepare("SELECT * FROM $type ORDER BY $sortBy $orderBy"); } } else { $stmt = $pdo->prepare("SELECT * FROM $type ORDER BY $sortBy $orderBy"); } $stmt->execute(); $result = $stmt->fetchAll(PDO::FETCH_ASSOC); } catch(PDOException $e) { echo 'ERROR: ' . $e->getMessage(); }

Только проблема, которую я вижу, заключается в том, что при изменении таблиц вам нужно будет добавить / удалить / изменить массив имен таблиц. Я имею небольшое / среднее приложение в виду, не очень сложное.

Примечание. Я также ужасно редактируюсь в stackoverflow, поэтому, если вы знаете способ сделать это лучше, продолжайте и редактируйте или дайте мне знать.