Ver Mensaje Individual
  #13 (permalink)  
Antiguo 16/10/2008, 11:01
Roydan
 
Fecha de Ingreso: mayo-2007
Mensajes: 27
Antigüedad: 17 años
Puntos: 0
Respuesta: seguridad frente sql injection

Asi tengo mis variables
Código PHP:
$campo $_POST["campo"]; //// corresponde al nombre del campo
$criterio $_POST["criterio"]; //// corresponde a un texto 
La consulta que me genera Dreamweaver es asi

Código PHP:
sprintf("select sis.*, sistr.cod from sis left join sistr on sis.cod=sistr.cod WHERE %s LIKE %s GROUP BY cod ORDER BY cod ASC"GetSQLValueString($campo"text"),GetSQLValueString("%" $criterio "%""text")); 
al hacerle un echo a la consulta sql
genera algo asi

Código PHP:
select sis.*, sistr.cod from sis left join sistr on sis.cod=sistr.cod WHERE 'campo1' LIKE '%textoabuscar%' GROUP BY cod 
ese 'campo1' me da error, por que deberia ser solo campo1 . porque dreamweaver lo considera como texto y me lo deja con comillas,

Hay alguna forma de proteger esa variable sin que el resultado me de con comillas

o me estoy equivocando en algo

Saludos