Являются ли SQL-инъекции только угрозой для страницы, которая имеет форму?

Question

Я знаю, что это простой вопрос, но во всем, что я читал, я никогда не видел, чтобы это было прописано конкретно.

Если вы делаете запрос на странице, нужно ли беспокоиться о атаках с использованием SQL-инъекций? Или это только проблема, когда вы спрашиваете пользователя о вводе?

Спасибо!

Answer 1

Что касается меня, вы никогда не должны доверять этим переменным: $ _POST, $ _GET, $ _REQUEST, $ _COOKIE и даже $ _SERVER могут содержать вредоносный код. Поэтому ВСЕГДА убедитесь, что введенные данные соответствуют вашим ожиданиям. Например, в качестве дополнительной параноидальной меры при проверке адреса электронной почты вы можете зашифровать адрес электронной почты с помощью md5 следующим образом:

"SELECT username FROM users WHERE MD5(email)='" . md5($_POST['email']) . "' AND active=1"

Answer 2

Вам нужно беспокоиться о межсайтовых скриптах (XSS) атаках в этом случае, если данные, отображаемые на странице, получены из данных, предоставленных пользователем.

ESCAPE INPUT, FILTER OUTPUT

Answer 3

Когда пользователь может изменять значения параметров запроса, это может стать угрозой.