php - 実行する前に異常なクエリ（疑わしいインジェクション）を検出するにはどうすればよいですか？

Question

一部のハッカーは私のデータベースにアクセスでき、バグを見つけるつもりです。サーバーログにアクセスできません。疑わしいクエリをテキストファイルに保存するために、このコードを作成しました。

function query($query) {
$file = 'sqllog.txt';
if(/* Which condition should i use to detect? */){
$contents = file_get_contents($file);
$contents.="\r\n";
$contents.=$query;
file_put_contents($file,$contents);
}
$this->theQuery = $query;
return mysql_query($query, $this->link);
}

SQLインジェクションの疑わしいクエリを検出するには、どの条件を使用する必要がありますか？

Answer 1

mysql_real_escape_stringコードベースでサニタイズされていない入力 (つまり を使用していないもの) を探す必要があります。パラメータをクエリに挿入する直前に、この関数を呼び出すのが理想的です。

または、PDO を使用して準備済みステートメントに切り替えることを検討してください。そうすれば、SQL インジェクションはもはや問題になりません。