エスケープに関しまして

質問

$uid　　 ：　　ueno
　$pwd　　：　　' OR 'A'='A

　これを入力するとSQLは以下のようになる。

SELECT * FROM user WHERE uid='ueno' AND pwd='' OR 'A'='A

これをエスケープで対策するとしたら具体的にはどう記述したらいいでしょうか？？

回答No.1

yambejp · ベストアンサー

全ての変数投入のさいにmysql_real_escape_string()するのが妥当です
その前に想定する文字列以外受け付けないサニタイズ工程が入ると思いますが

お礼

回答ありがとうございます。早速調べ実行してみます。解らなければ、また質問するかもしれませんが、宜しければよろしくお願いいたします。

補足

すみません、新しい質問は関数間違えてますでしょうか。よろしく願います。

回答No.2

edomin7777

http://www.atmarkit.co.jp/fsecurity/column/ueno/42.html

これか…。

http://www.phppro.jp/school/security/vol2/1
http://php-web.net/security/sanitize.html

熟読。