एसक्यूएल तैयार कथन में मैं सिंगल और डबल कोट्स से कैसे बच सकता हूं?

Question

मैं एक SQL विवरण पर्ल में नीचे दिखाया गया है एक के समान है:

my $sql="abc..TableName '$a','$b' "; 

$ एक नि: शुल्क पाठ जिसे एकल कोट, डबल कोट, पीठ और सामने के स्लैश वर्ण, आदि सहित कुछ भी समाहित कर सकता है

एसक्यूएल कथन कार्य करने के लिए ये वर्ण कैसे बच सकते हैं?

धन्यवाद।

my $sth = $dbh->prepare('UPDATE myTable SET myValue=? WHERE myValue=?'); 

$sth->execute('newValue','oldValue'); 

यह भी काम करना चाहिए:

my $oldValue = $dbh->quote('oldValue'); 
my $newValue = $dbh->quote('newValue'); 
$dbh->do("UPDATE myTable SET myValue=$newValue where myValue=$oldValue"); 

अभी भी बेहतर है, सबसे अच्छा अभ्यास बाँध मूल्यों का उपयोग करने के लिए है:

Answer 1

आप ->quote विधि (आप DBI का उपयोग कर रहे कल्पना करते हुए) का उपयोग कर सकते संग्रहित प्रक्रिया कॉल के लिए, स्ट्रिंग का विस्तार होने के बाद कथन मानते हुए वैध SQL है। यह चालक/डीबी विशिष्ट हो सकता है तो वाईएमएमवी।

my $sth = $dbh->prepare("DBName..ProcName ?,? "); 
$sth->execute($a, $b); 

Answer 2

तैयार कथन का उपयोग करें। परिवर्तक को एक के साथ बदलें? डीबीआई मैनपेज से उदाहरण प्राप्त करने के लिए:

$sql = 'SELECT * FROM people WHERE lastname = ?'; 
$sth = $dbh->prepare($sql); 
$sth->execute($user_input_here); 

आपके एसक्यूएल में उपयोगकर्ता इनपुट इंटरपोलेटिंग सुरक्षा छेद मांग रहा है।

Answer 3

यदि आप क्वेरी पैरामीटर प्लेसहोल्डर का उपयोग करते हैं, तो आपको तारों की सामग्री से बचने की आवश्यकता नहीं है।

my $sql="DBName..ProcName ?, ?"; 
$sth = $dbh->prepare($sql); 
$sth->execute($a, $b); 

यदि डीबीआई सही क्वेरी पैरामीटर का उपयोग कर रहा है, तो यह एसक्यूएल कथन से अलग-अलग आरडीबीएमएस को पैरामीटर मान भेजता है। मान SQL कथन स्ट्रिंग के साथ कभी संयुक्त नहीं होते हैं, इसलिए मानों को SQL इंजेक्शन का कारण बनने का अवसर कभी नहीं होता है।

यदि डीबीआई क्वेरी स्ट्रिंग में चर को इंटरपोल करके तैयार कथन "अनुकरण" कर रहा है, तो डीबीआई को सही भागने वाले तर्क को संभालना चाहिए ताकि आपको यह नहीं करना पड़े। विशेषज्ञों (जो लोग डीबीआई लिखते हैं और परीक्षण करते हैं) को चिंता करने दें कि यह कैसे करें।

Answer 4

आप का उपयोग नहीं करना चाहते हैं -> उद्धरण (किसी कारण से, इस समारोह DBI के अपने संस्करण पर नहीं चलता है) तो यह प्रयास करें:

$query=~s/\"/\\\"/g; 

मैं साथ भी ऐसा ही करते हैं सिंगल कोट्स और कॉमा भी सुरक्षित होने के लिए।

मेरे लिए ठीक काम करने लगता है ...!