SQL injection in PHP
Në shqip: SQL injection në PHP
ShpjegimiSQ
Kodi i vjetër si "SELECT * FROM p WHERE emri = '$emri'" lejon sulmuesin të shkruajë ' OR 1=1 -- dhe të lexojë gjithë tabelën. Përdor gjithmonë prepared statements me PDO ose Eloquent.
EnglishEN
Old code like "SELECT * FROM u WHERE name = '$name'" lets an attacker type ' OR 1=1 -- and read the whole table. Always use prepared statements with PDO or Eloquent.
Si ta mendosh
Si t'i lejosh dikujt të shkruajë vetë urdhrat në kartën e bibliotekës.
Lexoje në anglisht
Like letting someone write their own instructions on the library card.
Shembull kodiphp
// ✗ $db->query("SELECT * FROM p WHERE emri = '$emri'");
$stmt = $db->prepare("SELECT * FROM p WHERE emri = ?");
$stmt->execute([$emri]);