[PHP / MYSQL] Whitelist für SQL-Queries

[omata]

Prüfe deine Parameter, dann ist so etwas wie du vorschlägst nicht notwendig.

[TheMiller]

Die Parameter prüfe ich ja in der Validator-Klasse. Mir geht's darum SQL-Injections bzw. die Möglichkeiten dazu zu verhindern, die durch evtl. Unachtsamkeit entstehen können.

[himitsu]

Wenn man von außen keine Queries übergeben kann, dann braucht man auch nichts zu prüfen.
Und da du eh nur registrierte Queries durchlassen willst, ist es sowieso nutzlos irgendwas einzubauen, wo man sowas übergeben könnte.

[TheMiller]

Zitat von himitsu:

Wenn man von außen keine Queries übergeben kann, dann braucht man auch nichts zu prüfen.
Und da du eh nur registrierte Queries durchlassen willst, ist es sowieso nutzlos irgendwas einzubauen, wo man sowas übergeben könnte.

Hey. Das habe ich gerade nicht verstanden. Angenommen, ich habe ein "email / Passwort"-Formular für einen Login. Dann wird doch die Variable eMail und die Variable Passwort an die DB geschickt. Angenommen, ich habe die Variablen nicht sauber geprüft, könnte ein Dritter doch die Query so verändern (SQL-Injection), dass er an andere Daten rankommt, die mit der Ausgangs-Query nicht geladen worden wären. Daher nochmal diese Whitelist-Prüfung - so dachte ich jedenfalls.

Aber ich scheine dich falsch verstanden zu haben, oder?

[BUG]

Sowas läuft unter dem Namen SQL Firewall.
Ein Vertreter ist zB. GreenSQL.

[TheMiller]

Ehm okay. Dann werde ich mich mal erkundigen.

Schade - dachte eigentlich, ich hätte voll die innovative Idee

Danke

[rollstuhlfahrer]

Zitat von DJ-SPM:

Schade - dachte eigentlich, ich hätte voll die innovative Idee

So neu ist die auch wieder nicht. Wenn man sich mal mit PHPMyAdmin beschäftigt hat, merkt man schnell, dass der einen SQL-Interpreter auf JS-Basis an Board hat. Grund: Gibt man in ein SQL-Feld einen Löschbefehl ein, so wird der erkannt und erst mal Nachgefragt, ob der wirklich ausgeführt werden soll. Ansonsten ist auch noch ein PHP-SQL-Highlighter eingebaut. Also alles nichts wirklich neues.

Bernhard

[TheMiller]

Hab's kapiert

Ne, danke euch für all die Infos und ich werde mich damit mal auseinandersetzen. Aber nicht mehr heute, sondern eher morgen