mysql - SQLインジェクションと複数行コメント

Question

クライアントのクエリをテストしていて、興味深い質問に出くわしました。悪意のあるハッカーSQLが次のクエリを挿入する可能性があります。

SELECT * FROM mytable WHERE 1
AND cfield='0'
AND (
field1 like '%$searchterm%' OR
field2 like '%$searchterm%' OR
)

たとえば、私の考えでは、最初の$ searchtermの後にあるものをコメントアウトして、他のクエリを挿入する方法はありません。

field1 like '%$searchterm%'

それでも、私は間違っているかもしれません。ご意見をお待ちしております。前もって感謝します！

Answer 1

代わりにこれを試してください：

SELECT * FROM mytable WHERE 1
AND cfield='0'
AND (
field1 like '%' || :searchterm || '%' OR
field2 like '%' || :searchterm || '%' OR
)

...:searchtermお気に入りの言語が提供する機能に入力された入力パラメーターはどこにありますか。

Answer 2

searchterm = "');drop table customers;SELECT * FROM mytable WHERE ( field1 like '"